PS-00692-2014

1/13 Procedimiento Nº PS/00692/2014 RESOLUCIÓN: R/01517/2015 Mediante Acuerdo de fecha 12/12/14 se inició procedimiento sancionador nº PS/00692/2014 instruido por la Agencia Española de Protección de Datos a ENDESA ENERGIA SA, por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha de 9/1/14 tiene entrada en esta Agencia un escrito de D. A.A.A., en adelante el denunciante, en el que manifiesta lo siguiente: * El 8 de enero de 2013 interpuso reclamación, con número ***NÚMERO.1, ante ENDESA ENERGIA SA, en adelante ENDESA, en relación con una contratación fraudulenta a su nombre. * El contrato por el que se han emitido facturas a su nombre es el ***CONTRATO.1, a pesar de que nunca ha contratado el suministro de energía eléctrica con la citada entidad. * Tras haber tratado en más de veinte ocasiones de informarse de su reclamación a través del teléfono que se le facilitó al efecto (800******), a fecha del escrito no ha recibido respuesta a su reclamación. * El 25 de julio se le notificó la inclusión de sus datos en el fichero de solvencia patrimonial ASNEF. Se aportó diversa documentación en relación con los hechos denunciados SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/01488/2014. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 11/11/14. TERCERO: El Director de la Agencia Española de Protección de Datos acordó, con fecha 4/9/14, iniciar procedimiento sancionador a Endesa Energía S.A.U Por la presunta infracción de los artículos 6.1. y 4.3 de la LOPD CUARTO Por parte de la entidad denunciada se han presentado las siguientes alegaciones ante dicho Acuerdo: 1º Se ratifican en las manifestaciones realizadas en su escrito de 8/7/14 2º Que aunque en el Acuerdo de Inicio se parte de la premisa de que Endesa realizó un tratamiento de los datos del denunciante contrario al principio de consentimiento, la realidad es que la esposa del denunciante, según consta en la grabación telefónica remitida, quien realiza la contratación como unidad familiar en el punto de suministro de referencia. 3º Que es por tanto la esposa del denunciante quien, teniendo acceso a los datos del mismo, acepta y da consentimiento a la contratación y corrobora los datos de su marido denunciante., en dicha grabación expresamente acepta y consiente tanto la contratación como la utilización de los datos de su marido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 4º Que hubo consumo en el punto de suministro 5º Ausencia de culpabilidad por parte de Endesa 6º Se propone como como prueba que se remita la grabación de la contratación tanto a la esposa del denunciante como al propio denunciante a fin de que una vez escuchada contesten a una serie de preguntas que se adjuntan al escrito 7º Subsidiariamente, aplicación del art. 45.5 QUINTO: Por el instructor del procedimiento se apertura periodo de prácticas de pruebas, practicándose las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ENDESA ENERGIA SA, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01488/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00692/2014 presentadas por ENDESA ENERGIA SA, y la documentación que a ellas acompaña. 3. Aceptar la prueba propuesta por Endesa, solicitándose por esta Agencia al denunciante la remisión de alegaciones en relación a la existencia de una grabación telefónica, en nombre del mismo, en relación a la contratación de un suministro de energía eléctrica cuyo titular es el denunciante SEXTO: Por parte del Sr. A.A.A., se ha remitido contestación a la prueba solicitada manifestando que: “Es imposible que la supuesta grabación de voz sea de fecha 29/12/11, ya que este procedimiento comenzó en febrero de 2012. La primera factura emitida es del día 20/2/12” SEPTIMO: Se dictó propuesta de resolución, con fecha 30/4/15, en el sentido de que por el Director de la Agencia se sancionase a ENDESA ENERGIA por las infracciones de los artículos 4 y 6 de la LOPD. OCTAVO: Se han presentado por ENDESA ENERGIA las siguientes alegaciones, con fecha ante la propuesta de resolución: * Que durante las actuaciones de inspección Endesa aportó copia de la grabación telefónica. Según consta en la misma es la esposa del denunciante quien teniendo acceso a los datos del mismo acepta y da su consentimiento a la contratación, realizando la misma como unidad familiar. * Que obran las facturas de suministro emitidas por Endesa en el que se constata que el denunciante ha hecho uso del suministro si bien resultaron impagadas sin causa justa. * Que se ha producido indefensión en relación con la práctica de la prueba solicitada no remitiendo copia de la grabación sólo el cuestionario con las preguntas solicitadas. * Vulneración de la doctrina de los actos propios * Existencia de concurso medial C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 HECHOS PROBADOS 1º Consta denuncia presentada por D. A.A.A., en el que manifiesta lo siguiente: * El 8 de enero de 2013 interpuso reclamación, con número ***NÚMERO.1, ante ENDESA ENERGIA SA, en adelante ENDESA, en relación con una contratación fraudulenta a su nombre. * El contrato por el que se han emitido facturas a su nombre es el ***CONTRATO.1, a pesar de que nunca ha contratado el suministro de energía eléctrica con la citada entidad. * Tras haber tratado en más de veinte ocasiones de informarse de su reclamación a través del teléfono que se le facilitó al efecto (800******), a fecha del escrito no ha recibido respuesta a su reclamación. * El 25 de julio se le notificó la inclusión de sus datos en el fichero de solvencia patrimonial ASNEF. 2º Consta la siguiente documentación aportada en relación a los hechos denunciados * Reclamación remitida a ENDESA recibida por esta el 27 de agosto de 2013. * Escritos de ENDESA en los que acusa recibo de las reclamaciones de 8 de enero, 27 de agosto y 10 de octubre de 2013. * Facturas emitidas por ENDESA a nombre del denunciante de fechas 21, 24, 28 y 31 de diciembre de 2012, 13 de febrero, 18 de marzo, 14 y 15 de mayo de 2013. * Copia de requerimientos de pago remitidos por terceros en nombre de ENDESA en enero de 2014. * Reclamación presentada ante el Instituto Galego de Consumo el 5 de noviembre de 2013 y alegaciones realizadas por ENDESA en respuesta. * Notificación de inclusión en el fichero ASNEF el día 15 de octubre de 2014. 3º Consta en los ficheros de a EQUIFAX IBERICA, SL la siguiente información asociada al denunciante: Respecto del fichero ASNEF: No consta información. Respecto del fichero de NOTIFICACIONES: Constan cinco notificaciones emitidas a nombre del denunciante, con fecha de emisión 25 de julio de 2013 todas ellas, por un producto de OTROS, siendo la entidad informante ENDESA y por importes de 358,16 euros, 232,20 euros, 228,23 euros, 231,06 euros y 283,60 euros. Constan dos notificaciones emitidas a nombre del denunciante, con fecha de emisión 17 de octubre de 2013 ambas, por un producto de OTROS, siendo la entidad informante ENDESA y por importes de 282,21 euros y 240,05 euros. Respecto del fichero de BAJAS: Constan las bajas asociadas cada una de las siete notificaciones citadas en el apartado, con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 fecha de baja en todos los caso de 17 de enero de 2014. El motivo consta como F. PURA (baja solicitada por la unidad informante a través del fichero de actualización) por vencimientos impagados primero y último de fechas 9 de enero y 29 de mayo de 2013. 4º Consta en los ficheros de ENDESA la siguiente información en relación a los hechos denunciados. * Respecto de los productos que constan de alta a su nombre: -- En los sistemas de la entidad consta el alta del servicio de suministro eléctrico a nombre del denunciante con fecha de alta 2 de febrero de 2012 y fecha de baja por impago de 15 de abril 2013. -- La venta se formalizó a través de teléfono. -- No aportan copia del contrato suscrito. -- Se aporta copia de la grabación de la conversación telefónica de 29 de diciembre de 2011 mediante la que quien se identifica como Dña. B.B.B., con NIF ***NIF.1 contrata el servicio en nombre de su cónyuge, el denunciante. Durante la grabación es el operador quien proporciona los datos identificativos de ambos y la interlocutora quien los confirma. -- La entidad manifiesta que la contratación consta como realizada a través de un distribuidor, ACONTACT COL SAS, con sede en Colombia, pero aporta copia de un contrato firmado con EMERGIA CONTAC CENTER SL, con CIF ******** y sede en España, para la realización de acciones de marketing telefónico. 5º Consta las siguientes comunicaciones con el afectado y acciones emprendidas por la entidad * Contactos registrados en el sistema de información de la entidad: -- Respecto de las comunicaciones y contactos que han existido entre esa entidad y el cliente, aportan impresiones de pantalla en las que se observa que entre el 2 de enero y el 24 de octubre de 2013 el denunciante reclama la contratación como fraudulenta y solicita copia del contrato firmado o de la grabación de la misma de forma reiterada. -- A pesar de que constan en el expediente tres notificaciones de 8 de enero, 27 de agosto y 10 de octubre de 2013 en las que le informan de los números de identificación de sus reclamaciones, la única reclamación de la que consta respuesta es la presentada por el Instituto Galego de Consumo en el nombre del denunciante que recibió ENDESA el 10 de diciembre de 2013. * Expediente en papel: -- Aportan copia del expediente en papel que consta en la entidad y que recoge las reclamaciones efectuadas por el afectado aportan copia de las mismas comunicaciones que aporta el denunciante. -- A pesar de que constan en el expediente tres notificaciones de 8 de enero, 27 de agosto y 10 de octubre de 2013 en las que le informan de los números de identificación de sus reclamaciones, la única reclamación de la que consta respuesta es la presentada por el Instituto Galego de Consumo en el nombre del denunciante que recibió ENDESA el 10 de diciembre de 2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 6º Consta la siguiente información sobre posibles impagos * Se han emitido ocho facturas entre el 21 de diciembre de 2012 y el 15 de mayo de 2013, ninguna de las cuales fueron abonadas. Aportan copia de las que se encuentran pendientes de pago como parte del expediente que contiene las reclamaciones en formato papel. * Las facturas figuran como emitidas los días 21, 24, 28 y 31 de diciembre de 2012 y 13 de febrero, 18 de marzo, 14 y 15 de mayo de 2013. * Actualmente, la deuda contraída se encuentra condonada. * Respecto de las causas que han motivado la inclusión de los datos personales del afectado en el fichero ASNEF y del requerimiento de pago de la deuda como paso previo a su inclusión en los ficheros citados, la entidad manifiesta: -- Los datos del denunciante fueron incluidos en el fichero ASNEF debido al impago de las facturas y fueron excluidas al estimar la reclamación interpuesta por el denunciante a través del Instituto Galego de Consumo. -- La entidad manifiesta no disponer de documentos que acrediten las fechas en que los datos fueron comunicados al responsable del fichero ASNEF. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/01488/14 se dictó por el Director de la Agencia, Acuerdo de Inicio de Procedimiento Sancionador (PS/692/14) al apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, basados, salvo prueba en contrario, que Endesa ha realizado un tratamiento de datos del denunciante sin acreditar el consentimiento inequívoco de aquel - ni tratarse de unas de las excepciones previstas en el art. 6.2 de la LOPD, incluyéndose además sus datos en un fichero de morosidad sin responder con veracidad a su situación actual, III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
2. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
3. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV Debe tenerse en cuenta en primer lugar, en relación a la prueba solicitada, que por parte del instructor del expediente se interesó ante el denunciante que remitiera las alegaciones, que considerase oportunas, en relación a la existencia de una grabación telefónica, aportada por Endesa, en que una persona contrata a su nombre. No remitiéndose la grabación física, al considerarse irrelevante para acreditar el consentimiento de la contratación por el titular del suministro o por la persona que actuara en su nombre. V Se imputa, por tanto, a la entidad ENDESA ENERGIA, en primer lugar, una infracción del artículo 6 de la LOPD que exige el consentimiento inequívoco del afectado para el tratamiento de los datos de carácter personal En orden a precisar el alcance antijurídico de los referidos hechos respecto de la entidad denunciada, procede analizar el principio de consentimiento consagrado en el artículo 6.1 y 2 de la LOPD, que establecen lo siguiente, El artículo 6, apartados 1 y 2, de la Ley Orgánica 15/1999, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2.No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Este precepto debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
4. c)y 3,
5. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento de los afectados o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento de los afectados cuando realiza algún tratamiento con los datos personales de éstos, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. Ahora bien, tal y como ha expresado la Audiencia Nacional, sala de lo contencioso administrativo, y, entre otras, en Sentencia de 28/02/2007 -recurso n°.236/2005-, el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la AN de 8/11/2012 -recurso n°. 789/2010). VI En el supuesto que examinamos, los hechos probados acreditan que los datos personales del denunciante fueron tratados por Endesa sin su consentimiento figurando como titular de un contrato que declara no haber realizado. Llegados a este punto procede analizar si ENDESA, que ha aportado una grabación, de fecha 29/12/11 en la que Dª B.B.B. dice contratar el suministro de electricidad a nombre del denunciante, contaba con el consentimiento del Sr. A.A.A. para tratar sus datos personales pues salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento legitima el tratamiento. En primer término debemos subrayar que corresponde a Endesa la carga de la prueba del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 consentimiento del titular de los datos sometidos a tratamiento. Este es el criterio que de forma constante ha mantenido la Audiencia Nacional. Muy significativa es la Sentencia de la Audiencia Nacional de 21 de diciembre de 2001, en la que el Tribunal expuso lo siguiente: “ ….. de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D….(nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir, ……debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. En la misma línea cabe citar la STAN de 31 de mayo de 2006, Recurso 539/2004, en cuyo Fundamento de Derecho Cuarto se indica: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Más recientemente la STAN de 27 de enero de 2011, (Rec 349/2009), ratifica el criterio precedente y en su Fundamento de Derecho Tercero expone: “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. (El subrayado es de la AEPD). La LOPD exige que el titular de los datos presten su consentimiento inequívoco, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.h de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. De los datos aportados por las partes al expediente no ha quedado suficientemente acreditado que la Sra. Veiga contara con autorización del denunciante para contratar en nombre de el un servicio de electricidad, de lo que se deduce que por parte de Endesa hubo un tratamiento de los datos personales del Sr A.A.A. sin su consentimiento y sin adoptar las medidas a las que le obliga la diligencia mínima que debe observar en el tratamiento de los datos. Es esta falta de diligencia es lo que hace recaer sobre la denunciada la responsabilidad por los hechos denunciados. En consecuencia, se estima que la conducta anteriormente descrita constituye una vulneración del principio del consentimiento que consagra el artículo 6.1 de la LOPD, tipificada en el artículo 44.3.
6. b)de la citada norma Respecto del tiempo de dicho tratamiento, se debe indicar que el hecho de que la denunciada diera de baja el contrato con fecha 15/4/13 por impago y que la deuda contraída se encuentre condonada no significa que dejara de tratar sus datos. Pues incluyó sus datos en un fichero de morosidad hasta 17/1/14, fecha de la baja de los datos del denunciante en el fichero de morosidad. No procede admitir la alegación sobre la vulneración por parte de la Agencia de la teoría de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 actos propios, ya que la misma proclama un principio general de derecho, que afirma que es inadmisible venir contra los propios actos, como consecuencia del principio de buena fe y con la exigencia de observar un comportamiento coherente. Sin embargo, la aplicación de la misma exige una serie de requisitos, entre ellos que los actos que aspiren a la calificación como propios sean inequívocos, en el sentido de crear, definir, modificar, extinguir o esclarecer, sin ningún género de duda una determinada situación jurídica, sin embargo, aplicando estos racionamientos al caso que nos ocupa, la existencia de una grabación de la presunta contratación, en base a lo razonado más arriba, no prueba de forma fehaciente que Endesa tuviera el consentimiento del titular de los datos para el tratamiento de los mismos en relación a la contratación del suministro de energía VII Se imputa a ENDESA así mismo la infracción del artículo 4.3 de la LOPD que indica: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos preceptos deben integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
7. c)y 3,
8. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por su parte, el R.D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, (en lo sucesivo RLOPD), en su artículo 38 y bajo la rúbrica “Requisitos para la inclusión de los datos” dispone: “1. Solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
9. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).” Se deduce por tanto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, por una parte, que la deuda sea cierta, vencida, exigible y que haya resultado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 impagada, y por otra, que se haya requerido de pago al deudor antes de informar los datos a la entidad responsable de la gestión del fichero. Conviene recordar, además, que es el acreedor el responsable de comprobar que los datos que se comunican se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. No se discute en este supuesto la existencia de un requerimiento previo sino la certeza de la deuda. VIII Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial suministran periódicamente las relaciones de altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el fichero, siendo las entidades informantes las que deciden sobre el alta, el mantenimiento y la cancelación de los datos de los clientes de los referidos ficheros. En este caso ENDESA emitió ocho facturas entre el 21 de diciembre de 2012 y el 15 de mayo de 2013, que resultaron impagadas lo que motivó la inclusión de los datos personales del afectado en el fichero ASNEF, siendo excluidos del mismo al estimar la reclamación interpuesta por el denunciante a través del Instituto Galego de Consumo. Por ello, el tratamiento posterior de los datos personales del denunciante, materializado en la emisión de dichas facturas por unos servicios cuya contratación no se ha acreditado, determinó que la entidad denunciada le imputara una deuda que, respecto al denunciante, no era cierta, ni vencida ni exigible. La posterior información de dichos datos a los ficheros de morosidad en relación con deudas que no eran veraces al no responder a la situación del Sr. A.A.A., ni por tanto vencidas y exigibles, por lo que se ha vulnerado el principio de calidad de datos previsto en el artículo 4 de la LOPD. La conculcación de este principio supone la comisión de la infracción grave prevista en el transcrito artículo 44.3.c). El artículo 44.3.
10. c)de la LOPD, tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. IX El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
11. a)El carácter continuado de la infracción.
12. b)El volumen de los tratamientos efectuados.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
14. d)El volumen de negocio o actividad del infractor.
15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
16. f)El grado de intencionalidad.
17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Endesa solicita, con carácter subsidiario la aplicación del art 45.5,, en concreto sus epígrafes a),
26. b)c), basado en los siguientes motivos: * Que es la esposa del denunciante, como unidad familiar, según consta en la grabación telefónica, quien realiza la contratación en el punto de suministro de referencia * Que hubo consumo en dicho punto de suministro como así lo acreditan distintas facturas. Debe tenerse en cuenta, como se ha analizado más arriba, que la existencia de una grabación no permite en este supuesto sostener que Endesa contara con el consentimiento, del Sr. A.A.A., para la contratación del suministro del que era titular, ni se ha acreditado que la persona que realiza la contratación contara con su consentimiento expreso para realizar la misma. En este sentido, sobre un caso similar, se expresó la sentencia de la Audiencia Nacional (16/2/12) y en base a la misma no procede considerar como suficiente la documentación aportada, que parece proceder de un familiar, para entender que el denunciante ha prestado su consentimiento para dicha contratación. Sin embargo cabe considerar dichas circunstancias como atenuantes de la responsabilidad de Endesa por lo que procede la aplicación del art. 45.5, para establecer de este modo la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que proceda inmediatamente en gravedad. En cuanto a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 LOPD, consideramos que concurren diversas circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el importante volumen de negocio de Endesa (apartado d, del artículo 45.4), Están presentes también las circunstancias recogidas en los apartados siguientes del artículo 45.4 ya citado: apartado c), que versa sobre la vinculación de la actividad de Endesa con la realización de tratamientos de datos de carácter personal, pues el desarrollo de su actividad empresarial exige un constante tratamiento de datos personales tanto de clientes como de terceros. En el presente caso, ha quedado acreditado que el contrato de suministro estuvo de alta a nombre del denunciante durante el periodo 21/2/12 a 15/4/13, que por parte de Endesa se recibió una reclamación a través del Instituto Galego de Consumo, con fecha 4/11/13 que fue contestada el día 16/1/14, comunicando la anulación de las facturas reclamadas, y con fecha 17/1/14 los datos del denunciante fueron dado de baja de los ficheros de morosidad. Por consiguiente cabe apreciar la existencia de una actuación diligente dado que tras la reclamación del denunciante ante u órgano competente, la entidad regularizó su situación en plazo relativamente breve, evitando todo tratamiento posterior de sus datos personales. Circunstancias que motivan la aplicación del art. 45.5.
27. b)Por la concurrencia de dichas circunstancias se considera procedente imponer una sanción de 20.000€, por la infracción del art. 6 de la LOPD y de 20.000 por la infracción del art. 4.3 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ENDESA ENERGIA S.A.U. por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 y 4 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad ENDESA ENERGIA S.A.U. por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a ENDESA ENERGIA S.A.U. y a D. A.A.A. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es