PS-00745-2013

1/10 Procedimiento Nº PS/00745/2013 RESOLUCIÓN: R/01282/2014 En el procedimiento sancionador PS/00745/2013, instruido por la Agencia Española de Protección de Datos a la entidad ENDESA ENERGÍA XXI SL, vista la denuncia presentada por E.E.E. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 9 de enero de 2013 tiene entrada en esta Agencia un oficio de la OMIC de Sant Cugat del Vallès remitiendo escrito de E.E.E. en el que denuncia a ENDESA ENERGÍA XXI SL (Endesa) por que utiliza sus datos personales en documentos correspondientes a contratos de servicios que no ha firmado ni solicitado. Aporta · Factura a su nombre de fecha 3/10/2012 por el número de contrato ***CONTRATO.2 en su domicilio de St. Cugat. Esta factura es la única que reconoce como cierta. · Factura a nombre de G.G.G. pero a NIF J.J.J., de fecha 24/7/2009 y domiciliada en C.C.C., con número de contrato ***CONTRATO.1. Factura que no reconoce. · Factura a nombre de G.G.G. pero a NIF J.J.J., de fecha 20/6/2012 y domiciliada en C.C.C., con número de contrato ***CONTRATO.1. Factura que no reconoce. · Factura a nombre de E.E.E. pero a NIF J.J.J., de fecha 20/9/2012 y domiciliada en C.C.C., con número de contrato ***CONTRATO.1. Factura que no reconoce. · Copia de la página web de ENDESA en la que aparecen dos contratos a nombre de E.E.E., el que reconoce con nº ***CONTRATO.2 y el que no reconoce con nº ***CONTRATO.1 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a Endesa. Concluyeron las actuaciones con el informe de la Inspección. TERCERO: De todo lo actuado en la fase previa de investigación se concluyó, salvo prueba en contrario, que Endesa, ha realizado tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos. Los datos del denunciante fueron tratados en los trámites correspondientes al contrato de otro cliente. CUARTO: Con fecha 27/12/13 el Director de la AEPD acordó iniciar procedimiento sancionador a ENDESA ENERGÍA XXI SL por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.

1. c)de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, Endesa mediante escrito formuló alegaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 solicitando el archivo del procedimiento por no existir vulneración alguna de la normativa vigente. Alega que los hechos son consecuencia de un error en el registro del DNI de dos clientes en que coinciden siete de los nueve dígitos. Que recibida la reclamación investigó y regularizó los datos incorrectos. SEXTO: Con fecha 20/02/14 se inició el período de práctica de pruebas, acordándose las siguientes: Se dan por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos generados por los Servicios de Inspección y las alegaciones al acuerdo de inicio presentadas. Denunciante y denunciante con sus respuestas aportan copia de documentos. SEPTIMO: Con fecha 08/05/14, el Instructor del Procedimiento formuló propuesta de resolución sancionadora consistente en Que por el Director de la Agencia Española de Protección de Datos se sancione a Endesa Energía SAU con multa prevista en el 45.2 y 4 de la LOPD de 50.000 € (cincuenta mil euros) por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
2. c)de dicha norma. OCTAVO: La propuesta fue notificada a Endesa. En el plazo para alegaciones solicitó el archivo del procedimiento por no existir vulneración alguna de la normativa vigente. Reitera las alegaciones de sus escritos anteriores. ALEGA QUE: <<< …, lo ocurrido en el presente supuesto se debe a un error en el número de DNI de ambos clientes, dado que el DNI del Sr. E.E.E. ( J.J.J.) es prácticamente idéntico al del Sr. G.G.G. (***NIF.1), variando en un único dígito -un “6” en lugar de un “9”, dígitos que, además, guardan similitud. Cuando el Sr. E.E.E. procedió a darse de alta en “endesaonline”, la aplicación le muestra los contratos que constan en el sistema comercial de Endesa con su número de DNI, incluyendo el contrato de suministro n° ***CONTRATO.1 que pertenecía al Sr. G.G.G. y estaba registrado con el DNI del Sr. E.E.E.. …, como consecuencia de la reclamación del Sr. E.E.E., Endesa procedió a realizar las correspondientes gestiones, tanto con la empresa distribuidora como con el Sr. G.G.G., a fin de verificar lo manifestado por el Sr. E.E.E. y confirmar el n° de DNI del Sr. G.G.G., subsanando el error inicial así como la asociación del contrato generada por una interpretación errónea de la citada reclamación, dejando correctamente registrados los contratos de Sr. E.E.E. y del Sr. G.G.G., con anterioridad al inicio del presente expediente, conforme se ha acreditado. …, el proceso de traspaso de estos clientes de las distribuidoras a las comercializadoras de último recurso (en este caso, Endesa Energía XXI) se regulaba en la Orden 1TC1165912009, de 22 de junio, por la que se establece … (...) 3. Si antes del día 1 de julio de 2009, los consumidores no han procedido a formalizar un contrato de suministro con una comercializadora, automáticamente se entenderá que consienten en obligarse con el comercializador de último recurso que les corresponda …, subrogándose el comercializador de último recurso en la obligación de suministro con los mismos parámetros técnicos y datos del anterior contrato de suministro a tarifa con el distribuidor A estos efectos las empresas distribuidoras deberán comunicar antes del 1 de julio de 2009 todos los datos de los contratos a tarifa suscritos con los clientes que traspasan a los comercializadores de último recurso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 correspondientes.” Resulta totalmente contrario a derecho que por un error que, como hemos indicado, ni siquiera es atribuible a mi mandante, se pretenda imputar a Endesa un ilícito administrativo e imponerle una sanción administrativa. …, es evidente que no concurren las circunstancias que permitirían imputar a Endesa una infracción administrativa, por lo que la Agencia debe proceder al archivo del expediente. ... estamos hablando de una sola denuncia referente a un único interesado frente a la cartera de aproximadamente 7,5 millones de clientes de suministro que tiene mi mandante. …en el caso de que la Agencia considere que ha quedado plenamente probada la comisión de la infracción imputada, …, la Administración debe proceder a cuantificar la sanción aplicando la escala establecida para las infracciones leves. >>> De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 01. 10/05/06, fecha del contrato de suministro de energía eléctrica de Endesa Distribución Eléctrica SAU con la persona denunciante E.E.E., DNI J.J.J., para su vivienda en A.A.A., que tiene asignado el CUPS ***********. Dicho contrato por la normativa de aplicación en el sector eléctrico paso el 01/07/09 a ser competencia de la comercializadora ENDESA ENERGÍA XXI SL, contrato nº ***CONTRATO.2. 02. Julio de 2012, la persona denunciante comunica que hay un error con los contratos que figuran online a su nombre. Al rectificar Endesa comete otro error adjudicándole un contrato distinto al suyo, y siguen las reclamaciones. 03. 16/10/12, la persona denunciante E.E.E., DNI J.J.J., presenta en la oficina de Endesa en Sabadell la “Full oficial de reclamació / denuncia” con el siguiente texto: << Sres. de Endesa Energía XXI: Mi nombre es H.H.H. E.E.E. con DNI J.J.J. con domicilio en A.A.A.. Desde hace muchos años tengo un único contrato con ustedes el nº ***CONTRATO.2. Antes de proceder por la vía judicial y tras haber agotado mi paciencia en sucesivas reclamaciones online nº ***RECLAMACIÓN.1, ***RECLAMACIÓN.2, ***RECLAMACIÓN.3, ***RECLAMACIÓN.4, ***RECLAMACIÓN.5, ***RECLAMACIÓN.6, que se inician en el mes de julio del corriente y que por su negligente actuación no han servido más que para enredar más la situación, me persono en una oficina de Endesa para identificarme con mi DNI, con este escrito y copia de los siguientes documentos: 1. Factura 3-oct-2012 a nombre de H.H.H. E.E.E. con DNI J.J.J. para el suministro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 eléctrico en su domicilio de ***POBLACIÓN.1. N contador ***NÚMERO.1, al que le corresponde el único contrato que tengo con ustedes n2 ***CONTRATO.2. De todos los documentos presentados éste es el único que no presenta errores. 2. Factura de un tal G.G.G. (Málaga) que arranca su relación con Endesa en julio de 2009 con un error, su número de DNI igual al mío: J.J.J.. Al entrar online en la factura sin papel con mis claves y contraseña compruebo que el contrato de ese señor nº ***CONTRATO.1 aparece junto al mío. Al solicitar una y otra vez que rectifiquen la anomalía, “la resuelven” poniendo también este contrato a mi nombre. A partir de aquí se niegan a rectificar su propio error y me obligan a demostrar que el error es suyo. 3. Factura de junio de 2012 de G.G.G., ésta es la última en la que aparece el titular del contrato ***CONTRATO.1 con sus datos -salvo el DM que es el mío-. 4. Factura de Septiembre de 2012 de I.I.I. con la “rectificación” hecha por Endesa en la que aparezco yo, H.H.H. y mi DNI como titular del contrato de ese señor de Málaga. 5. Copia de su página online de internet en la que pueden verse los datos del contrato de ese señor ***CONTRATO.1, a mi nombre, donde se utilizan mis datos personales (nombre, DNI, correo electrónico, móvil, y quien sabe qué más). A través de Internet, he encontrado que en el domicilio del suministro D.D.D.) ese señor es titular de la empresa SANFORESUR, ***TEL.1 que también tiene domicilio en (C/...........1), ***TEL.2, pero ese es su trabajo, saber quiénes son sus clientes. El mío es exigirles que dejen de utilizar mis datos personales fraudulentamente para identificar contratos que nunca he firmado. >>. 04. 17/10/12, dicha hoja de reclamación tiene entrada en la OMIC del Ayuntamiento de Sant Cugat, que intenta buscar solución con Endesa pero no lo consigue y traslada a la AEPD la denuncia. 05. 19/12/13, informe de Endesa a solicitud de la Inspección de Datos para acreditar que la persona denunciante E.E.E., figura en la base de datos como titular, con DNI J.J.J., de un contrato de suministro de electricidad (***CONTRATO.2), para su vivienda de B.B.B.. 06. 07/03/14, con sus alegaciones en la fase de pruebas Endesa aporta seis copias de facturas, distintas de las reseñadas por el denunciante, a nombre de la persona denunciante, emitidas para contrato distinto al suyo y con un CUPS distinto de punto de suministro. La ultima esta emitida el 21/11/12. Igualmente aporta otra fechada el 24/12/12 con el nombre y el DNI correcto del cliente titular del contrato ***CONTRATO.1. FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 II De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. A. Endesa es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con las exigencias del principio de la calidad de datos contenidos en el artículo 4.3 de la LOPD. B. Por motivos no acreditados Endesa ha efectuado un tratamiento de datos inexactos, al utilizar un nº de DNI incorrecto en la facturación de uno de sus clientes – distinto al denunciante- coincidente con el DNI de este, sin corresponder a la realidad contractual de dicha persona. III De la infracción: El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En este caso, Endesa hizo tratamiento de los datos de carácter personal del denunciante, cliente de la entidad, sin tener en cuenta el principio de calidad de datos. Los datos que trata son inexactos, y así los trasmite a la entidad bancaria. Este comportamiento de Endesa, supone una vulneración del principio de calidad de datos, recogido en el artículo 4.3 de la LOPD, al incorporar a sus ficheros datos inexactos y que no respondían con veracidad a la situación actual del denunciante y que encuentran su tipificación en el artículo 44.3.
4. c)de la citada Ley Orgánica. IV De la tipificación: El artículo 44.3.
5. c)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
6. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” Se imputa a Endesa la infracción tipificada en el citado artículo por su responsabilidad en los hechos declarados probados. Cabe señalar al respecto, entre otras, la Sentencia de la Audiencia Nacional dictada el 21/09/2005, Recurso 937/2003, que establece, “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
7. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este sentido la Sentencia de la Audiencia Nacional, de fecha 03/06/2010 señala que “Se aduce en segundo lugar, la falta de intencionalidad amparándose en que se trata de un hecho aislado originado por un error cometido por parte de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, que se subsanó en el momento en que se tuvo conocimiento del mismo. Se hace referencia al principio de culpabilidad y además se alega que se han implementado más medidas para evitar que vuelva a ocurrir otro hecho similar. En cuanto al principio de culpabilidad cabe reseñar que la responsabilidad objetiva está proscrita, ciertamente, en el ámbito administrativo sancionador, siendo preciso la existencia del elemento culpabilístico para que concurran los elementos de la infracción administrativa. Como señala la STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". En el caso de autos la infracción apreciada se puede cometer tanto de forma dolosa como culposa, siendo atribuible en este caso a título de culpa por falta de diligencia, pues la conducta típica pudo haberse evitado atendidos los parámetros ordinarios de cuidado y precaución. Es más la propia parte reconoce que la no cancelación de los datos del denunciante se produjo por un error de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, error que no viene sino a traslucir esa falta de cuidado o diligencia que constituye la esencia de la culpa. Finalmente reseñar que este es el criterio seguido por la Sala en supuestos semejantes al presente”. La Audiencia Nacional en Sentencia de 01/12/2004 expuso, en cuanto a la culpabilidad en la comisión de la infracción del artículo 4.3 de la LOPD, que “a la vista de la jurisprudencia sobre culpabilidad de las personas jurídicas en el Derecho administrativo sancionador, el alegato de la entidad recurrente sobre la concurrencia de un error no puede ser aceptado. El principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Cierto es que esta simple inobservancia no puede ser entendida como la admisión de la responsabilidad objetiva, pues la jurisprudencia del Tribunal Supremo (a partir de sus Sentencias de 24 y 25 de enero y 9 de mayo de 1983) y del Tribunal Constitucional (después de su STC 76/1990) destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de sus artículos 1.1 y 25.1 y requiere la existencia de dolo o culpa. Pues bien, la culpa constitucional y legalmente exigida se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para comprobar que los datos remitidos eran veraces y exactos, y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 esa falta de diligencia es lo que configura el escrito de demanda no es un error sobre la prohibición, sino un error respecto de la exactitud de los datos remitidos al fichero, y esto es precisamente lo que prohíbe la LOPD, configurando al respecto una obligación específica en su artículo 4.3. En definitiva, resultaba exigible a la ahora actora comprobar la veracidad de los datos enviados, incurriendo, al no hacerlo, en una falta de diligencia que determina la existencia de culpa, la comisión de ilícito administrativo y, por ende, la sanción correspondiente.” (El subrayado es de la Agencia Española de Protección de Datos). Y añade la referida Sentencia, en cuanto al alegato de la recurrente relativa a la ausencia de perjuicios causados al afectado, que “es importante destacar que la comisión del ilícito administrativo no trae causa del daño concreto a los intereses de la persona física afectada, sino de la cesión misma del dato erróneo”. En este caso, la cuestión que se suscita es si la entidad denunciada empleo o no una diligencia razonable a la hora de tratar los datos de su cliente. Pues bien, ENDESA en ningún caso debió asociar el DNI del denunciante en la gestión del contrato de un tercero, debiendo poner especial cuidado en garantizar el principio de calidad del dato y de veracidad. En este caso, ha incurrido en la infracción descrita ya que ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, cuando mantuvo datos incorrectos de la persona denunciante en sus ficheros. Todo ello, constituyen una conducta de actuación constitutiva de la infracción tipificada en el artículo 44.3.
8. c)de la citada Ley Orgánica. V De la sanción: El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Los hechos declarados probados han sido tipificados como una infracción grave, por lo tanto corresponde una sanción por un importe comprendido en el tramo del apartado 2 trascrito. VI El artículo 45.5 de la LOPD, establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
9. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10
10. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
11. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
12. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
13. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Es necesario analizar la reacción de la imputada ante las reclamaciones de la persona denunciante. Por teléfono desde julio de 2012 efectuó numerosas llamadas, cuyos números de reclamación se enumeran en los hechos probados. Todo ello antes de la presentación (16/10/12) de la hoja de reclamación en la oficina de Endesa que llegó a la OMIC. La conciliación intentada por la OMIC no fue posible y fue traslada a la AEPD (09/01/13). Consta factura con datos incorrectos emitida el 21/11/12. Al mes siguiente es emitida factura con datos correctos para el cliente tercero No consta que las facturas con los datos inexactos hayan sido anuladas y emitidas nuevas con datos correctos y exactos. No procede la aplicación del 45.5,
14. b)pues no se ha acreditado una actuación diligente en la regularización de la situación irregular denunciada, tal como ha quedado expuesto. IX. El artículo 45.4 de la LOPD, establece que: “La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
15. a)El carácter continuado de la infracción.
16. b)El volumen de los tratamientos efectuados.
17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
18. d)El volumen de negocio o actividad del infractor.
19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
20. f)El grado de intencionalidad.
21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10
24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora Para que el importe de la sanción pueda ser fijado circunstancias a que se refiere el apartado trascrito: han de ser examinadas las - El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio de la calidad de los datos durante cinco meses. - El volumen del tratamiento es reducido. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, puesto que ENDESA es empresa que tiene como actividad la prestación de facturación de suministros de energía y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene el Grupo Endesa, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. - En lo que se refiere al volumen de negocio de hay que hacer constar que es un hecho notorio que excluye la necesidad de aportar elemento probatorio alguno. Pertenece a uno de los grupos energéticos más importantes en este país y a nivel global. - El beneficio obtenido no se ha acreditado, aunque puede deducirse que no ha habido. - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó incorporar a la base de datos el DNI incorrecto y su posterior gestión de facturación incorrecta, no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a los supervisores de todos ellos. Todos esos pequeños incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. - La imputada han sido objeto de expedientes sancionadores por infracciones similares. - No se ha acreditado daño cuantificable en euros, solo puede computarse la redacción y presentación de escritos de reclamación y denuncias, y todas las gestiones a que se ve obligado la persona denunciante. - Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. El balance de todas las circunstancias contempladas permite graduar la sanción en un importe de 50.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 PRIMERO: IMPONER a la entidad ENDESA ENERGÍA XXI SL, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
25. c)de dicha norma, una sanción de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: Notificar la presente resolución a ENDESA ENERGÍA XXI SL y a E.E.E. E.E.E.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es