1/5 Procedimiento nº.: E/01061/2013 ASUNTO: Recurso de Reposición Nº RR/00583/2013 Examinado el recurso de reposición interpuesto por A.A.A.contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01061/2013, y en base a los siguientes HECHOS PRIMERO: Con fecha 28 de junio de 2013, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/01061/2013, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 3 de julio de 2013, según aviso de recibo que figura en el expediente. SEGUNDO: A.A.A.(en lo sucesivo, la recurrente) ha presentado en esta Agencia, en fecha 11 de julio de 2013, recurso de reposición, fundamentándolo básicamente en que la contratación es un fraude porque ella no ha firmado ningún contrato, no ha recibido ninguna llamada de ENDESA para contratar sus servicios y los datos del contrato no son verdaderos (fecha de nacimiento, firma, código postal, cuenta corriente). FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En el marco de las actuaciones previas de investigación, la denunciada ha aportado copia del contrato, de fecha 18/06/2012 así como grabación de la llamada para verificar los datos del contrato y el conocimiento de las condiciones de la contratación de los servicios de gas, electricidad y mantenimiento. ENDESA ENERGIA, si bien no ha aportado fotocopia del DNI ni de factura de la comercializadora anterior, sí que ha aportado, junto con la copia del contrato firmado, una grabación de la llamada de control de calidad efectuada por el Distribuidor Oficial de Endesa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 En dicha llamada se pregunta expresamente, entre otras cuestiones, su segundo apellido (a lo que el interlocutor responde “XXXXXXXX”), si es el titular de los contratos (responde que sí) y si firmó el día 18 de junio de 2012 los contratos de suministros y mantenimiento con ENDESA ENERGIA (responde afirmativamente). Así mismo, el interlocutor facilita la dirección completa del suministro y la fecha de nacimiento, que coincide con la que figura en el contrato. Todo ello constituye indicio suficiente para que ENDESA ENERGIA considere que la identidad de la persona con la que contrata es cierta, que coincide con la del titular de los contratos y que éste da su consentimiento expreso para la contratación. A este respecto, el artículo 6 de la LOPD, determina: “
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. A este respecto, se reitera lo comunicado en la resolución E/1061/2013: “En el presente supuesto de hecho se examina en primer término la presunta conculcación por parte de la entidad denunciada del principio del consentimiento. A este respecto, se ha de partir del hecho de que en el ámbito administrativo sancionador son de aplicación, con algunas matizaciones los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. Conforme señala el TS (STS 26/10/98) el derecho a la presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados—no puede tratase de meras sospechas—y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó al conducta infractora, pues de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria puede entenderse de cargo”. En este caso, al Entidad denunciada a requerimiento de la AEPD aporta como medio de prueba admisible en derecho—ex art. 80 Ley 30/92—copia del contrato de suministro de gas natural, en dónde queda plasmado el nombre, apellidos, DNI y firma del denunciante. En este caso, el DNI coincide con el del denunciante. La Entidad denunciada - ENDESA ENERGIA, S.A. - procedió en virtud de procedimiento interno a realizar una llamada de verificación al cliente, como consecuencia de la misma, éste confirma los datos de carácter personal (Nombre, apellidos, dirección completa de suministro, etc.) y la contratación de los servicios. A tal efecto, aporta copia de la grabación, en dónde se constatan los extremos anteriormente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 expuestos. Por tanto, la Entidad denuncia actúa bajo la apariencia del consentimiento otorgado por el denunciante—ex art. 3h) LOPD--. La Sala de la AN ha mantenido (sentencia de 20 septiembre de 2006 (Rec. 626/2004 )) que la concurrencia del consentimiento inequívoco del afectado que exige el artículo 6.1 de la LOPD para el tratamiento de datos de carácter personal por parte de un tercero, se ha de acreditar, en el caso de que dicho interesado alegue que no dio ese consentimiento, por ese sujeto que realiza el tratamiento, y ello a través de los medios previstos legalmente a tal fin; por lo que corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la ley, sólo el consentimiento justifica o legitima el tratamiento. A mayor abundamiento, el TS (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. En este caso no concurre tampoco el elemento subjetivo de la culpabilidad, al actuar en todo momento la Entidad denunciada bajo la apariencia de contratación legal realizada por un tercero (que actuaba de forma fraudulenta y cuyo conocimiento entra dentro de la esfera de competencias del orden jurisdiccional penal, en su caso).” En cuanto al elemento subjetivo – culpabilidad - , hay que señalar que sólo pueden ser sancionadas, por hechos constitutivos de infracción administrativa, las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia—ex art. 130 Ley 30/92, 26 de noviembre--. La jurisprudencia ha venido exigiendo a aquellas entidades que asumen en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a la cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. Así, la Audiencia Nacional señala en su Sentencia de 19 de enero de 2005, “el debate debe centrarse en el principio de culpabilidad, y más en concreto, en el deber de diligencia exigible a (...) en el cumplimiento de las obligaciones de la LOPD, y no tanto en la existencia misma de una contratación fraudulenta, cuestión ésta que compete resolver, en su caso, a otros órdenes jurisdiccionales” y añade que el elemento central de debate “no es la existencia misma de la contratación fraudulenta sino el grado de diligencia desplegado por la recurrente en su obligada comprobación de la exactitud del dato”. De acuerdo a estos criterios, se puede entender que ENDESA ENERGIA empleó una razonable diligencia en la contratación ya que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 el agente comercial externo presentó el contrato firmado, no pudiendo detectar la contratación fraudulenta que se estaba produciendo. Esta circunstancia dota a dicha contratación por parte de la entidad denunciada de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora. La Audiencia Nacional viene considerando que no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) cuando se actúa en la creencia de que la persona con la que se contrata es quién dice ser y se identifica como tal, con una documentación en apariencia auténtica y correspondiente a ella (Sentencias de 29/10/2009 y 29/04/2010). Por tanto, dado que tras el requerimiento de documentación realizado por esta Agencia a ENDESA ENERGIA, la denunciada ha aportado fotocopia del contrato firmado, se considera que hay elementos suficientes para constatar la existencia de diligencia en la comprobación del consentimiento para la contratación. Respecto a la diligencia debida y a la adopción de las medidas de prevención necesarias, pueden traerse a colación la SAN 1787/2010 (Rec. 700/2009) y la SAN de 8 de junio de 2006 (Rec. 244/04) donde se afirma que “si bien ni la normativa civil o mercantil, ni la específica aplicable a los consumidores y usuarios, establece que sea condición necesaria la solicitud de una copia del DNI o pasaporte a todos aquellos consumidores o usuarios que quieran contratar un determinado servicio con un empresario o profesional, ello no puede interpretarse, en el sentido de que le excuse de exigir medidas de prevención.” En dicha sentencia se dice que "no es obligatoria la copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse, a título de ejemplo, en la repetida copia del DNI...” Por tanto, a modo de conclusión, en el supuesto caso de que una tercera persona haya contratado estos servicios haciendo uso de su identidad y firmando un contrato en su nombre, podría tratarse de un delito de usurpación de estado civil, tipificado en el Código Penal, y en consecuencia, excede del ámbito competencial de esta Agencia y debe ser planteado para su conocimiento ante el órgano jurisdiccional competente. Por su parte, la denunciada remitió con fecha 23/10/2012 una carta en respuesta a la reclamación presentada por la denunciante en la que comunica la baja del suministro de gas en fecha 03/09/2012 y la anulación de los consumos realizados entre el 11/07/2012 y el 03/09/
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 28 de junio de 2013, en el expediente de actuaciones previas de inspección E/01061/
- SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es