← España

REPOSICION-PS-00188-2019

1/19 Procedimiento PS/00188/2019 180-100519 Resolución del Recurso de Reposición Nº- RR/740/2019 Examinado el recurso de reposición interpuesto por la entidad MADRILEÑA RED DE GAS S.A.U. con CIF: A65142309, (MRG- en adelante, “la entidad reclamada”), contra la resolución, dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/00188/2019, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 05/11/19 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00188/2018, por la que se acordaba Imponer a la entidad MADRILEÑA RED DE GAS SAU., una sanción de 12.000 (doce mil euros), por la infracción de los artículos 5.1.

  1. f)del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), tipificada como muy grave, a efectos de prescripción, en el artículo 72.1.a), de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). Dicha resolución, fue notificada a la entidad recurrente, con fecha 06/11/19, según aviso de recibo que figura en el expediente. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia en la resolución, de los siguientes: 1º A.A.A., propietaria de la vivienda sita en, ***DIRECCION.1, la alquila, con fecha 16/09/17, a D. B.B.B. y Dª C.C.C., según consta en el contrato de arrendamiento proporcionado por la reclamante. En el contrato de arrendamiento firmado entre las partes, se observa, en el punto vigésimo del mismo, que el correo electrónico que proporcionan los arrendatarios a efectos de notificaciones es “***EMAIL.1” y el número de teléfono, ***TELEFONO.1. 2º Con fechas 4, 6, y 7 de abril de 2018, se envían tres correos electrónicos desde la dirección: D.D.D., <***EMAIL.2> (extensión de correo de Apple utilizado cuando se utiliza un dispositivo con el sistema operativo de esta compañía), a la dirección: ***EMAIL.3, con el asunto: “Historial de lecturas A.A.A.” y con el texto: “Buenas tardes, con DNI ***DNI.1, solicito historial de consumo desde el 31/12/10 al 15/09/12. “Enviado desde mi iPhone 5”. 3º Con fecha 13/04/18 se envía un correo electrónico desde la dirección ***EMAIL.3 a la dirección D.D.D., <***EMAIL.2> con Asunto: Historial de Lectura de A.A.A., y con el mensaje: “Gracias por contactar con Madrileña Red de Gas. En atención a su solicitud ***SOLICITUD.1, detallamos las lecturas solicitadas (…). La información suministrada se divide en tres columnas: la primera columna indica la “fecha de registro”, con 15 lecturas, que van desde el 31/12/10 al 08/11/12; En la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 segunda columna se detalla el “consumo en metros cúbicos” y la tercera columna se indica el “tipo de lectura”, estimada, facilitada o real). TERCERO: La entidad reclamada, ha presentado, con fecha 27/11/19, recurso de reposición fundamentándolo, básicamente, en que: Con fecha 07/02/19, MRG recibió requerimiento informativo con referencia E/00242/2019 por parte de la Subdirección General de Inspección de Datos, en virtud de la cual se solicitaba determinada información a MRG en relación con una reclamación presentada por A.A.A., en concreto: (
  2. i)copia de un contrato de suministro de gas con nº ***CONTRATO.1; (
  3. ii)procedimiento empleado para la identificación de la persona que presentó la solicitud de información nº ***SOLICITUD.1; y (iii) los datos trasladados a dicho peticionario de solicitud, con copia de la comunicación. Se adjunta como Documento nº 2 el referido requerimiento. Con fecha 15/02/19, MRG contestó al requerimiento de información mediante escrito dirigido a la AEPD aportando la información solicitada y dejando constancia de que lo solicitado nada tiene que ver con los datos de la reclamante y con la información de los sistemas de MRG, concretamente: (
  4. i)indicamos que MRG es una empresa distribuidora de gas y que, entre otros cometidos, gestionamos las solicitudes de puesta en servicio tramitadas por las empresas comercializadoras, como resultado de una contratación de suministro de gas que dichas empresas gestionan con los usuarios finales, por lo que no podemos aportar copia de dicho contrato; (
  5. ii)aportamos el procedimiento empleado para la identificación solicitada; y (iii) aportamos los datos trasladados en relación con esa solicitud de información. Se adjunta como Doc. 3. Con fecha 20/02/19, se recibió en MRG “subsanación del requerimiento de Información”, con la misma referencia anterior (E/00242/2019). En este escrito se reconoce un error en el requerimiento de información inicial por parte de la AEPD y se procede a solicitar información del caso objeto del presente procedimiento, concretamente: (
  6. i)el procedimiento empleado para identificar a la persona reclamante; y los (
  7. ii)datos trasladados a dicha peticionario. Se adjunta como Doc. 4. Con fecha 05/03/19, MRG contestó al requerimiento de información mediante escrito dirigido a la AEPD aportando debidamente la información solicitada en el escrito de 20/02/19. Se adjunta como Doc. 5. Con fecha 24/06/19 la AEPD dictó Acuerdo de Inicio de Procedimiento Sancionador por posible infracción del artículo 5.1.
  8. f)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante “RGPD”), con número de referencia (PS/00188/2019), que se adjunta como Documento nº6. Entre otros aspectos, en dicho Acuerdo de Inicio de Procedimiento Sancionador se relacionan una secuencia de comunicaciones desde la AEPD dirigidas aparentemente a MRG, descritas en el punto SEGUNDO y TERCERO del apartado HECHOS del mismo, que constan como rechazadas. Sobre dichas comunicaciones, volvemos a dejar expresa constancia (al igual que en la contestación a dicho Acuerdo de Inicio de Procedimiento Sancionador) que MRG: “siempre ha atendido las solicitudes de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 información, o de otro tipo, recibidas de la AEPD, con la mayor diligencia y seriedad, por lo que nos sorprenden los hechos recogidos en su escrito. Nos inclinamos a pensar que haya habido algún error en los envíos de la AEPD, quizá confundiendo a Madrileña Red de Gas, S.A.U. “distribuidora de gas” con otra entidad. El hecho de que en el Acuerdo de Inicio de Procedimiento Sancionador se mencione en el punto TERCERO de la descripción de los hechos a “MADRILEÑA SUMINISTRO DE GAS”, “comercializadora de gas” totalmente ajena a MADRILEÑA RED DE GAS, y la mención de una empleada (Natalia Mata) que no pertenece a la plantilla ni tiene ninguna vinculación laboral con MADRILEÑA RED DE GAS, nos hace creer que dichos envíos rechazados se hayan dirigido por error a la Comercializadora “MADRILEÑA SUMINISTRO DE GAS”, en vez de a MADRILEÑA RED DE GAS, SAU. Aunque no está directamente relacionado con los hechos motivo del procedimiento, si puede arrojar una imagen equivocada de MRG y una falta de implicación de MRG en la gestión del procedimiento y de los datos personales.” Queremos poner de nuevo de manifiesto este extremo insistiendo en ello, así como en la diligencia y seriedad de MRG en la atención de todas las solicitudes de información requeridas por parte de la AEPD y hacer especial énfasis en que MRG tuvo conocimiento de la reclamación a que se refiere el presente expediente a través del Requerimiento de Información de esa AEPD con referencia E/00242/2019, de fecha 07/02/2019, enviado por el Inspector la AEPD. Es precisamente a través de este Acuerdo de Inicio de Procedimiento Sancionador cuando MRG es conocedora del motivo de la reclamación, cuando afirman: “En el supuesto presente, se ha verificado que, el número de referencia de la consulta que figura en la denuncia está asociado a un punto de suministro del que era titular la reclamante hasta el 22/10/18. La consulta nº ***SOLICITUD.1 se hizo por correo electrónico a la dirección atención.usuarios@madrilena.es, en abril de 2018, indicando como DNI del solicitante el del titular del contrato. Aunque la entidad reclamada aporta el correo de contestación a la solicitud nº ***SOLICITUD.1 y manifiesta que es la misma que la del remitente de la solicitud, se comprueba que los datos no corresponden con los de la titular del contrato de suministro, ya que en dicha dirección figura como destinatario D.D.D. -***EMAIL.2- ni tampoco corresponde con ninguna de las dos personas que firman el contrato de alquiler como parte arrendataria, siendo una tercera persona.” Como se puede apreciar, de esta manifestación se desprende que la AEPD asume como cierto: (
  9. i)que MRG es conocedora de la existencia – lo que no es cierto- de un contrato de alquiler entre la titular del punto de suministro y, aparentemente, dos personas más; y (
  10. ii)que el correo al que MRG envió la información solicitada, tras comprobarse que la solicitante era efectivamente la titular del punto de suministro, muestra que los datos de dicha dirección no concordaban con la titular o con los aparentes arrendatarios – cuya existencia desconocía MRG. Tal y como se alegó en este sentido, es necesario repetir que MRG no tiene ni ha tenido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 conocimiento de ningún tipo de la existencia de tal contrato, ni mucho menos de los datos de los arrendatarios, por lo que es del todo incoherente e injustificable: (
  11. i)vincular el referido correo electrónico a una tercera persona de forma que sea conocedora de que no es un correo del titular del contrato; (
  12. ii)dar credibilidad a la identificación a través de correo electrónico; y, con mayor razón, (iii) asociar esa conducta con la posible vulneración del precepto objeto de sanción. Con fecha 08/07/19, MRG envió a la AEPD las Alegaciones al Acuerdo de Inicio de Procedimiento Sancionador, el cual se adjunta como Documento nº7, solicitando el archivo del procedimiento sancionador. En estas alegaciones, entre otros aspectos -incluyendo los mencionados en el antecedente de hechos anterior-, MRG adjunta el correo de solicitud de la información objeto de la denuncia de la reclamante a MRG y pone de manifiesto que entre los días 4, 6, 7 y 11 de abril de 2018, MRG recibe los correos que se adjuntan en dichas alegaciones, en los que la titular del punto de suministro, tras identificarse como tal, solicita la información sobre el consumo de gas, lo cual se envía posteriormente atendiendo la solicitud. Estos correos identifican al solicitante con el DNI de la titular (***DNI.1) y en asunto del mismo se identifica también a la titular del punto de suministro (A.A.A.). La titular del punto de suministro, la reclamante A.A.A., se dirigió a MRG en fechas posteriores para notificar una lectura del contador, identificándose como la titular, con su nombre, apellido y DNI. Además, informa de un email, ***EMAIL.1., con la misma identificación de cuenta que la de origen de la solicitud en los correos: ***EMAIL.2 (correo de Apple utilizado habitualmente cuando se hace una cuenta en un dispositivo de esta compañía). En estas Alegaciones se trató de adjuntar la grabación de dicha conversación, sin embargo, tal y como quedó reflejado en los detalles de la Solicitud de Registro del Justificante de Registro de Entrada, la Sede Electrónica de la AEPD no permite el envío de la grabación mencionada en las alegaciones y se solicitó otro canal alternativo para hacerla llegar, sin obtener contestación de la AEPD. Con fecha 27/06/19, la AEPD dictó Propuesta de Resolución del Procedimiento Sancionador, que se adjunta como Documento nº8. En esta Propuesta de Resolución, entre otros aspectos, queda reflejado como HECHOS PROBADOS que en el contrato de arrendamiento presentado por la reclamante – desconocido para MRG -, donde figura ella como propietaria y otras dos personas distintas como arrendatarios, aparece en el apartado de “Notificaciones” como correo del arrendatario el mismo referenciado en el antecedente de hecho SEXTO anterior, esto es, ***EMAIL.1. A continuación, se relaciona este hecho con la supuesta falta de diligencia de la que se le acusa a MRG a la hora de acreditar la identidad de la solicitante. Tal y como se ha indicado en el antecedente de hecho QUINTO anterior –y se puso de manifiesto en las alegaciones de MRG-, es necesario resaltar de nuevo que MRG nunca ha tenido, ni tiene, acceso a este contrato de arrendamiento, ni mucho menos de los datos de los arrendatarios, por lo que no se puede dar por hecho que, sin conocer dicho contrato, se pueda vincular el referido correo a una tercera persona distinta de la titular del contrato y, mucho menos, vincular estos dos comportamientos con una supuesta falta de diligencia por parte de MRG. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 Asimismo, en esta Propuesta de Resolución no se da solución a la cuestión alegada sobre la imposibilidad de MRG de aportar como prueba la llamada realizada por parte de la reclamante, porque la sede electrónica de la AEPD no permite el envío de la grabación, sin facilitar ningún medio alternativo para poder aportar la prueba. Con fecha 12/09/19, MRG envió a la AEPD las Alegaciones a la Propuesta de Resolución del Procedimiento Sancionador, que se adjunta como Documento nº9, donde se solicita el archivo del procedimiento sancionador porque, con los hechos aportados y los fundamentos jurídicos esgrimidos, se considera que MRG no ha vulnerado el considerando 39 del RGPD, ni incurrido en ninguna infracción del RGPD, ni del artículo 5.1.f), ni de ningún otro. Asimismo, dado que la AEPD no facilitó un canal alternativo a MRG para aportar como prueba la llamada telefónica de la titular del punto de suministro, se aporta en este momento la transcripción de dicha llamada telefónica. Con fecha 09/08/19, la AEPD comunicó a MRG el Inicio de Práctica de Pruebas que se adjunta como Documento nº10, en la que se acuerda dar por reproducido a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante MRG y el Informe de actuaciones previas de Inspección que forman parte del expediente E/0042/2019, así como las alegaciones al acuerdo de inicio PS/00188/2019 presentadas por MRG y la documentación que a ellas acompaña. Con fecha 05/11/19, la AEPD comunicó a MRG la Resolución del Procedimiento Sancionador (PS/00188/2019), que se adjunta como Documento nº11, en la que mantiene la misma sanción que en la Propuesta de Resolución del Procedimiento Sancionador. Esta comunicación se recibió en las oficinas de MRG con fecha 06/11/19. Con fecha 21/11/19 MRG solicitó a la AEPD acceso y copia completa del expediente relativo al presente procedimiento. Una vez expuesto de manera sucinta el relato de los hechos, y no estando de acuerdo con la sanción impuesta en la Resolución del Procedimiento Sancionador mediante el presente Recurso de Reposición se solicita la nulidad de la Resolución del Procedimiento Sancionador, de la sanción, y el archivo del expediente sancionador, en base a los siguientes. VULNERACIÓN DEL PRINCIPIO DE TIPICIDAD MRG ha demostrado en las distintas alegaciones que se han referenciado en el apartado anterior de Antecedentes de Hecho, que no ha incurrido en el pretendido incumplimiento que le reprocha la Resolución del Expediente Sancionador. Los medios de prueba que han podido aportarse que así lo acreditan, son fehacientes y claros, y no existe dato alguno que los contradiga. MRG ha garantizado, y garantiza, una seguridad adecuada en el tratamiento de datos personales, actuando conforme a la normativa aplicable y custodiándolos de manera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 impecable conforme a la normativa de protección de datos y de la actividad regulada de la Distribución de Gas Canalizado. El artículo 83.5.
  13. a)del RGPD considera infracción la vulneración del Art. 5.1.
  14. f)RGPD, esto es, que “Los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas”. La Resolución del Expediente Sancionador se limita a indicar que MRG “vulneró el art. 5 del RGPD, principios relativos al tratamiento, en relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al revelar a un tercero los datos personales de la reclamante a través de un correo electrónico remitido por el reclamado” lo cual vincula directamente con la constatación de “falta de diligencia en la acreditación de la identidad de la solicitante por parte de la entidad MRG, ya que no requirió evidencias suficientes para la correcta identificación de la persona que se ponía en contacto con ellos”. Si el comportamiento sancionado, tal y como se desprende de la Resolución, se fundamenta en la revelación a un tercero de datos personales del titular legítimo de los datos, cabe indicar que los datos en cuestión se facilitaron al titular legítimo de los datos y, por tanto, la persona autorizada para solicitarlos esto es, la persona que acreditó ser el titular del contrato de gas y usuaria del suministro de gas en la dirección correspondiente al punto de suministro (única que puede tener esta condición conforme a la normativa de la actividad regulada de la Distribución de Gas Canalizado), que es en este caso la persona reclamante, A.A.A., tras solicitarle conforme a la normativa existente los datos correspondientes. Tal y como se ha expuesto en el presente expediente, MRG no puede de ninguna forma tener constancia de la existencia de un contrato de alquiler entre la reclamante y propietaria (titular del Punto de Suministro de conformidad con nuestros sistemas), y un tercero arrendatario, cuyos datos personales desconocemos, pues si la hubiera tenido habría interrumpido el suministro de gas por infracción de lo establecido en la normativa de la actividad regulada de la Distribución de Gas Canalizado. El artículo 21, 1c) del Real Decreto 1434/2002 que regula las actividades de transporte, distribución, comercialización, suministro y procedimientos de autorización de instalaciones de gas natural, impone la obligación al titular del punto de suministro, en este caso a la reclamante, “Que el gas natural se destine a su propio uso”, obligación legal que está infringiendo la reclamante al permitir que el gas sea usado supuestamente por persona distinta, en este caso la arrendataria. En este mismo sentido, el artículo 36.2 de este RD 1434/2002 establece que: “El contrato de suministro es personal, y su titular deberá ser el efectivo usuario del combustible, que no podrá utilizarlo en lugar distinto para el que fue contratado, ni cederlo, ni venderlo a terceros. Pudiendo traspasarlo a terceros en las condiciones establecidas en el artículo 39. 1 de dicho Real Decreto 1434/2002: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 Para un punto de suministro, el consumidor que esté al corriente de pago podrá traspasar su contrato a otro consumidor que vaya a hacer uso del mismo en idénticas condiciones. El titular lo pondrá en conocimiento de la empresa distribuidora mediante comunicación que permita tener constancia a efectos de expedición del nuevo contrato.” La reclamante nunca realizó dicha comunicación, por lo que esta obligación legal fue totalmente incumplida por su parte, de manera que en nuestros sistemas permanecen debida y diligentemente custodiados sus datos precisamente porque la reclamante incumplió su obligación de modificarlos. Del mismo modo que no existe manera de haber conocido la existencia de dicho contrato de alquiler, es de igual modo imposible tener constancia de si la titular del punto de suministro y la inquilina han acordado y autorizado el uso de los datos de la primera por parte de la segunda precisamente para tener una mayor agilidad a la hora de gestionar el contrato con la distribuidora de gas, obviando así sus obligaciones de modificar dicho contrato tal y como establece el mencionado art. 39.1 RD 1434/2002. Por este motivo, no se puede afirmar que se ha producido una revelación a un tercero de los datos personales de la reclamante, tal y como se indica en la Resolución del Expediente Sancionador, porque fue la propia reclamante quien incumplió su obligación de modificarlos tal y como le exige el RD 1434/2002, poniendo en riesgo los mismos y permitiendo, aparentemente, que un tercero haga uso de dichos datos para el consumo y gestión del contrato de su punto de suministro de gas natural indebidamente. De este modo, el comportamiento de MRG no puede calificarse como un incumplimiento del artículo 5.1.
  15. f)RGPD en ningún caso. A este respecto, debe recordarse que el principio de tipicidad exige que el comportamiento a sancionar encaje perfectamente en el tipo infractor que se quiera aplicar toda vez que es un "requisito indispensable para que una conducta pueda ser castigada tanto en la esfera penal como en la administrativa [...] que tal conducta sea típica, es decir, que sea subsumible en algún tipo de contravención sin concurrencia de causa alguna excluyente de la antijuridicidad" (cfr., por todas, sentencia del Tribunal Supremo de 10 de febrero de 1989, rj 1219, fd 2°), de modo que este principio "impide que el órgano sancionador actúe frente a comportamientos que se sitúan fuera de las fronteras que demarca la norma sancionadora" (cfr., por todas, sentencia del Tribunal Constitucional 297/2005, de 21 de noviembre, FD 8º). No se puede calificar una conducta como infracción, ni sancionada, si las supuestas acciones u omisiones cometidas no guardan una perfecta similitud con las diseñadas por los tipos legales aplicables, esto es, solamente pueden imputarse y sancionarse comportamientos que encajen perfectamente con las conductas prescritas por el legislador de manera expresa y determinada. Del mismo modo, acierta a exponer el TS en su Sentencia de 7 de noviembre de 1984: “(...) los principios de la tipicidad de la infracción y de la legalidad de la pena, básicos presupuestos para el ejercicio de la potestad sancionadora por la Administración, requieren no sólo que el acto u omisión castigados se hallen claramente definidos corro infracción en el ordenamiento jurídico, sino también la perfecta adecuación de las circunstancias objetivas y personales determinantes de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 ilicitud y de la imputabilidad debiendo rechazarse cualquier tipo de interpretación extensiva, analógica o inductiva". La Sentencia del TS de 23/12/91, por cuanto dispone que: "G.) conforme a una reiterada doctrina de este Tribunal Supremo, el Derecho Administrativo sancionador ha de regirse por idénticos principios que el Penal; razón ésta por la que, además y es ello lo más trascendente-, esa plena asimilación inexcusablemente conlleva la necesidad de que el supuesto de hecho objeto de depuración por los órganos administrativos coincida, por sí mismo y sin necesidad de aplicación analógica alguna, con el literalmente previsto, es decir con el expresamente tipificado por las normas administrativas que en trance de sancionar a su autor, se les aplica". Por lo tanto, el comportamiento que se pretenda sancionar debe coincidir perfectamente con el que describa la norma sancionadora, debiendo tenerse en cuenta que en la hermenéutica de normas y resoluciones de carácter sancionador rige el principio de interpretación restrictiva con proscripción de exégesis extensivas (cfr. Sentencias del Tribunal Supremo de 3 de marzo de 2003 - y de 29 de junio de 1992). En este sentido, debe advertirse que existen manifestaciones por parte de la AEPD en la Resolución Sancionadora que denotan claramente cómo se llega a la conclusión errónea de que se produce el tipo infractor haciendo una interpretación de los hechos y de determinados argumentos alegados por MRG sacados de contexto que, en todo caso, se aleja de la reiterada y citada jurisprudencia del Tribunal Supremo donde, insistimos, se establece la “[…] necesidad de que el supuesto de hecho objeto de depuración por los órganos administrativos coincida, por sí mismo y sin necesidad de aplicación analógica alguna, con el literalmente previsto”. Un ejemplo de estas manifestaciones es el Fundamento Jurídico II de la Resolución del Expediente Sancionador: “Cuando MRG afirma que “(…) el correo electrónico, cuando su función es establecer un canal de comunicación, no puede ser un dato a considerar para identificar al solicitante ya que no hay garantías de que certifiquen ni su titularidad ni su uso por el interesado”, está reconociendo con ello, una previsible brecha de seguridad en sus sistemas, pues cualquier persona que se ponga en contacto con ellos a través de este medio e indique que, es quién realmente no es, aportándoles una mínima identificación, como por ejemplo el nombre o el DNI, la entidad MRG lo considera como válido, demostrando con ello un claro síntoma de falta de diligencia en la adopción de medidas adecuadas que garanticen que la persona que se pone en contacto con ellos es quien dice ser y no otra persona”. Hacer esta interpretación de la afirmación entrecomillada de MRG, no sólo está sacada de contexto y no es cierta, sino que forma parte precisamente de la respuesta de MRG a una acusación anterior por parte de la AEPD consistente en no haber identificado que, en el campo “remitente” del correo electrónico de la solicitud de información, apareciera otra persona distinta del titular del contrato. Es decir, MRG con esa afirmación estaba alegando precisamente lo contrario, por lo que interpretar la alegación sensu contrario para concluir que se da el tipo infractor indica claramente una vulneración del principio de tipicidad. En este sentido, cabe hacer una mención adicional, MRG no ha hecho en ningún momento un tratamiento no autorizado de los datos, es más, cumplió en todo caso con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 su deber de garantizar de forma adecuada la seguridad de los datos personales y solicitó todos los datos de identificación del titular del punto de suministro de conformidad con la normativa aplicable, esto es, cumplió con la Resolución de 12 de abril de 2011, de la Dirección General de Política Energética y Minas, por la que se aprueba el procedimiento marco de contratación telefónica, electrónica y telemática para el mercado de gas natural, para la contratación del suministro de gas natural por parte de las empresas Comercializadoras, el email no consta como uno de los datos para identificar al titular, utilizándose nombre y DNI para identificar a la persona. Asimismo, es preciso recordar también que el artículo 8 Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana titulado “Acreditación de la identidad de los ciudadanos españoles” establece que: “El Documento Nacional de Identidad es un documento público y oficial y tendrá la protección que a estos otorgan las leyes. Es el único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular”, resaltar en este sentido que este artículo fue modificado precisamente por el R.D.-ley 14/2019, de 31 de octubre, por el que se adoptan medidas urgentes por razones de seguridad pública en materia de administración digital, contratación del sector público y telecomunicaciones. Por estos motivos también se puede afirmar que, en la medida en que no exista normativa aplicable diferente en este sentido, o incluso, unas directrices, recomendaciones o guías por parte de la AEPD sobre las medidas que se consideran suficientes y diligentes para acreditar la identidad de las personas físicas, no se puede determinar que el comportamiento de MRG vulnere ningún tipo infractor, concluyendo, de nuevo, que se da claramente una vulneración del principio de tipicidad. En consecuencia, la Resolución impugnada debe ser revocada con base, entre otros preceptos, en el artículo 63.1 de la Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en adelante “LRJPAC”) puesto que vulnera el principio de tipicidad recogido en el artículo 129 de la LRJPAC en la medida en que se está aplicando un tipo infractor, el previsto en el artículo 5.1.
  16. j)RGPD, a un supuesto de hecho en el que no se evidencia que concurran las circunstancias requeridas, lo que vulnera; asimismo, el principio de seguridad jurídica del artículo 9.3 de la Constitución. SOBRE LA FALTA DE CULPABILIDAD DE MRG MRG ha demostrado que no incurrió en el pretendido incumplimiento que le reprocha la Resolución del Expediente Sancionador que afirma lo siguiente: “queda constatada la falta de diligencia en la acreditación de la identidad de la solicitante por parte de la entidad MRG, ya que no requirió evidencias suficientes para la correcta identificación de la persona que se ponía en contacto con ellos”. Sin embargo, tal y como se analizará en detalle más adelante, difícilmente puede sostenerse en este expediente sancionador que MRG haya mantenido un culposo proceder. Todo lo contrario: garantizó la seguridad de los datos personales en todo momento solicitando todos los datos de identificación del titular del punto de suministro conforme a la normativa aplicable, tal y como se ha venido exponiendo desde el inicio del procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 Antes de entrar a valorar los concretos motivos por los cuales debe entenderse que MRG ha actuado en todo momento con la máxima diligencia, debe hacerse una breve mención al principio de culpabilidad en el ámbito sancionador. La aplicación de los principios inspiradores del orden penal al Derecho Administrativo sancionador pretenden desterrar del sistema punitivo toda suerte de responsabilidad objetiva, y aplicar las normas sancionadoras de forma restrictiva. El principio de culpabilidad, que sigue rigiendo en el Derecho Administrativo sancionador, excluye la imposición de sanciones por el mero resultado. El elemento subjetivo de la culpabilidad, entendida ésta como juicio personal de reprochabilidad dirigida al autor de un hecho típico y antijurídico, ha de estar siempre presente, de forma que no puede darse infracción alguna sin la presencia de ese elemento elevado por la jurisprudencia a requisito esencial o pieza básica de todo sistema sancionador, sin que sea admisible la responsabilidad objetiva o causalmente desvinculada de dicha culpa. La necesidad de que las conductas -para que sean punibles tanto penal como administrativamente- sean culpables está amparada por una reiterada jurisprudencia (entre otras, por la Sentencia del Tribunal Supremo de 10 de febrero de 1989, Ar 2461, de 7 de diciembre de 1989, Ar 9462 y de 13 de julio de 1987, Ar. 6890), de la que sirve como ejemplo la Sentencia del Tribunal Supremo de 9 julio 1994, que determina que “sabido es que la potestad sancionadora de la Administración goza de la misma naturaleza que la potestad penal, por lo que en consecuencia, las directrices estructurales del ilícito administrativo tienden también, como en el ilícito penal, a conseguir la individualización de la responsabilidad, vedando cualquier intento de construir una responsabilidad objetiva o basada en la simple relación con una cosa, por consiguiente, en el ámbito de la responsabilidad administrativa no basta con que la conducta sea antijurídica y típica, sino que también es necesario que sea culpable, esto es, consecuencia de una acción u omisión imputable a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable (STS, Sala del artículo 61 de la Ley Orgánica del Poder Judicial, de 6 noviembre 1990, RJ 1992\1958,); es decir, como exigencia derivada del artículo 25.1 de la Constitución), nadie puede ser condenado o sancionado sino por hechos que le puedan ser imputados a título de dolo o culpa (principio de culpabilidad)” (énfasis añadido). En el mismo sentido se expresa la Sentencia de 15 de marzo de 1999 de la Audiencia Nacional, que dice lo siguiente respecto a la necesaria concurrencia del elemento subjetivo de la infracción: “(…) Esta Sala ya ha declarado en otras ocasiones la necesaria concurrencia del elemento subjetivo para la imposición de una sanción administrativa sin que pueda partirse de una responsabilidad objetiva por el resultado. (…) No existiendo dolo o culpa en la acción sancionada y negada la responsabilidad objetiva, no puede imponerse a los administradores o a la sociedad sanción alguna al no concurrir en ellos el elemento subjetivo requerido” (énfasis añadido). De lo anterior se desprende no solo que no se puede sancionar a ningún sujeto que no reúna el elemento subjetivo requerido, sino que, además, queda vedado que una persona responda de las infracciones cometidas por otros, salvo en supuestos muy determinados en que deben estar expresamente previstos en el régimen sancionador C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 de la Ley que resulte aplicable, debiendo en todo caso ser estos supuestos interpretados de forma restrictiva. Esta doctrina sobre el principio de responsabilidad personal y de culpabilidad es esencial y su aplicación al caso que nos ocupa lleva a la conclusión de que MRG no puede ser sancionada ya que no concurre en ella elemento subjetivo alguno de intencionalidad, ni siquiera a título de mera inobservancia. Tal y como se ha venido explicando desde el inicio de este expediente sancionador y, una vez analizada la doctrina anteriormente citada, NO puede sostenerse que MRG haya procedido en modo culposo en algún momento. Como se adelantaba, conforme a la normativa existente, MRG solicitó debidamente todos los datos del titular y usuario del punto de suministro para comprobar la identidad de la peticionaria conforme a esos datos, garantizando una seguridad y confidencialidad adecuadas de los mismos antes de facilitar la información sobre el consumo. Evidentemente, si la reclamante hubiera cumplido con las obligaciones que le impone la normativa de la actividad regulada de la Distribución de Gas Canalizado, como se ha analizado anteriormente: (
  17. i)no se habría producido la aparente suplantación que denuncia; (
  18. ii)no se habría podido supuestamente engañar a MRG por el tercero que, aparentemente y sin la autorización de la titular, suplanta la identidad de la reclamante; y (iii) ningún tercero con suministro de gas en ese punto de suministro (arrendatario, ocupante, usufructuario, cesionario, etc. del inmueble) habría supuestamente solicitado información de los consumos de la reclamante, pues la titularidad del punto de suministro no estaría a nombre de la reclamante, tal y como exige la normativa. Si la reclamante hubiera cumplido con las obligaciones que le vienen impuestas conforme a la normativa, no se habría podido producir la supuesta suplantación, ni se hubiera podido facilitar información sobre el consumo relacionado con la reclamante. Consumo que, por otra parte, puede que corresponda a cualquier otra persona distinta a reclamante que haya utilizado el inmueble en virtud de un contrato de arrendamiento, o por cualquier otro título, con el consentimiento de la reclamante y con absoluto desprecio a las obligaciones que le atañen conforme a la normativa de la actividad regulada de la Distribución de Gas Canalizado. Por otra parte, y habiéndose acreditado que, infringiendo la normativa expuesta, la reclamante mantiene la titularidad del punto de suministro a su nombre, aunque se destina para el uso de terceros, como por ejemplo la arrendataria, esta situación, por si sola, dejaría sin objeto alguno el presente procedimiento. Con todo esto se puede afirmar que MRG ha garantizado en todo momento la seguridad de los datos personales de la reclamante y antes de facilitar los datos de consumo solicitó todos los datos de identificación del titular y usuario del punto de suministro, con las medidas necesarias de conformidad con la normativa aplicable, cotejando debidamente los datos que le facilitaba la aparente titular del punto de suministro con la información que custodiaba debidamente en sus sistemas, esto es, los datos personales de la titular del contrato y del punto de suministro, A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 Es la reclamante quien ha incumplido sus obligaciones de notificar a MRG el cambio de contrato al formalizar el alquiler, lo cual deja a MRG en una situación de indefensión ya que la titular del punto de suministro, a través del aparente contrato de alquiler que nunca ha sido facilitado a MRG, cede sus datos personales a un tercero, siendo por tanto imposible para MRG conocer esa situación. Precisamente es en esa actuación negligente por parte de la reclamante cuando se ha puesto en riesgo la seguridad de sus datos personales –asumiendo que no haya a su vez cedido el uso de los mismos, dato que obviamente también desconocemos-, dejando al albur de un tercero el posible uso de los mismos de manera fraudulenta. Desde MRG se ha actuado siempre con buena fe y no puede en ningún caso entenderse un modo de proceder culposo ya que es del todo inexistente un nexo causal, principio esencial del derecho sancionador, entre el comportamiento realizado y el hecho aparentemente acaecido. Tal y como ha quedado asentado por la doctrina y jurisprudencia, no solo no se puede sancionar a ningún sujeto que no reúna el elemento subjetivo requerido, sino que además queda vedado que una persona responda de las infracciones cometidas por otros, salvo en supuestos muy determinados en que deben estar expresamente previstos en el régimen sancionador de la Ley que resulte aplicable, debiendo en todo caso ser estos supuestos interpretados de forma restrictiva. Es un hecho probado el que la reclamante ha incumplido con su obligación legal de comunicar a la compañía distribuidora el cambio de titular del punto de suministro. El hecho de que haya cedido sus datos personales a un tercero se extralimita de los deberes por los que tiene que velar MRG, y en todo caso dicho incumplimiento de la reclamante, eliminaría el esencial nexo causal y por tanto cualquier eventual elemento culpable. La apreciación de la culpabilidad en la conducta del infractor es una exigencia que surge directamente de los principios constitucionales de seguridad jurídica y de legalidad, en cuanto al ejercicio de potestades sancionadoras de cualquier naturaleza. El principio de culpabilidad constituye un elemento básico a la hora de calificar la conducta de un ciudadano como sancionable; es decir, es un elemento esencial en todo ilícito administrativo, y es un principio que opera no sólo a la ahora de analizar la conducta determinante de la infracción, sino también sobre las circunstancias agravantes. Cabe añadir también, que en este sentido se ha pronunciado el Tribunal Supremo, entre otras, en su Sentencia de 9 de enero de 1991, al señalar lo siguiente: “(…) el art. 25 de la Constitución donde se reconoce implícitamente la potestad administrativa sancionadora, tiene como soporte teórico la negación de cualquier diferencia ontológica entre sanción y pena. (…) “las contravenciones administrativas no pueden ser aplicadas nunca de un modo mecánico, con arreglo a la simple enunciación literal, ya que se integran en el supraconcepto del ilícito cuya unidad sustancial es compatible con la existencia de diversas manifestaciones fenoménicas, entre las cuales se encuentran tanto el ilícito administrativo como el penal” (…) Por tanto, resulta claro que las directrices estructurales del ilícito tienden, también en el ámbito administrativo, a conseguir la individualización de la responsabilidad y vedan simétricamente cualquier veleidad de crear una responsabilidad objetiva (…)” (énfasis añadido). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 Adicionalmente, conviene recordar que la culpabilidad debe ser apreciada, en principio, en las infracciones administrativas en función de la voluntariedad del sujeto infractor en la acción u omisión antijurídica. Por tanto, ha quedado sobradamente acreditado que no concurre el requisito de culpabilidad en la actuación de MRG, que no incurrió en actitud dolosa, culposa o negligente alguna, sino que cumplió con todos los requisitos de diligencia exigibles, sin que del expediente quepa concluir lo contrario. Dada la ausencia del requisito de culpabilidad exigido en el artículo 130 de la LRJPAC, procede anular la resolución impugnada, en aplicación del artículo 63.1 de la LRJPAC, así como la consiguiente imposición de la sanción. VULNERACIÓN DEL PRINCIPIO DE PROPORCIONALIDAD Con carácter estrictamente subsidiario a las anteriores alegaciones y en el hipotético supuesto de que se confirme que MRG ha de ser sancionada es preciso llamar la atención sobre el importe de la sanción propuesta (12.000 €) poniéndolo en relación con el ilícito al que esta se asocia. En este sentido, la Resolución del Expediente Sancionador incluye como criterio agravante a la hora de fijar el importe de la sanción el estipulado en el artículo 83.2
  19. h)del RGPD: “La forma en que la autoridad de control tuvo conocimiento de la infracción. Al tener conocimiento a partir de la reclamación”; y el artículo 76.2
  20. b)de la Ley Orgánica Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD): “La vinculación de la actividad del infractor con la realización de datos personales”. Pues bien, como se verá a continuación, tales alegaciones no pueden sostenerse, resultando la sanción impuesta contraria al principio de proporcionalidad. Tal como se ha expuesto en este recurso, MRG no ha cometido incumplimiento alguno, pero mucho menos puede entenderse que su comportamiento pueda calificarse como infracción muy grave. Sin perjuicio de nuestra pretensión de revocación de la Resolución Sancionadora, en todo caso únicamente podría eventualmente serle imputada una sanción en su grado mínimo. Conforme señala el artículo 131.3 de la LRJPAC: “(…) En la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada.” Concretar una sanción consiste en guardar una correlativa relación entre el “comportamiento antijurídico” y la “gravedad del hecho infractor”, de tal forma que la sanción que se imponga resulte de las circunstancias concurrentes en ese momento. El margen de actuación que se otorga a la Administración en la imposición de sanciones hace que dicha actuación deba desarrollarse ponderando, en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporcionalidad entre los hechos imputados y la responsabilidad exigida, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 justificándose de forma motivada las razones que conducen a esa Administración a imponer una sanción de la cuantía que se acuerde. A la luz del marco legal expuesto, las circunstancias concurrentes justificarían, por imperativo del principio de proporcionalidad, la imposición de la infracción en su grado mínimo y, en todo caso, sin aplicar las circunstancias agravantes indicadas en el apartado 3.1 anterior. En concreto en el presente caso: (
  21. i)Se considera un agravante el hecho de no haber notificado de forma proactiva la incidencia por parte de MRG. Insistimos en este sentido que MRG no tuvo conocimiento de la situación hasta que recibió la solicitud de información de la AEPD, siendo por tanto imposible que detectase el supuesto revelado de datos, dado que aparentemente, MRG fue objeto de engaño para conseguir dicha información, si es que realmente no la solicitó la reclamante, ya que de otra forma no se hubiera enviado la información. (
  22. ii)Se considera un agravante la vinculación de la actividad del infractor con la realización de tratamientos de datos personales. En este sentido, se debe tener en consideración que las empresas distribuidoras y comercializadoras de gas vienen obligadas por el Real Decreto 1434/2002 a mantener un canal telefónico a disposición de los clientes por temas de seguridad, por lo que es desproporcionado que precisamente por una obligación legal que va dirigida a la seguridad de los clientes y garantía del suministro, que conlleva una gestión telefónica permanente para resolver cualquier incidencia, sea considerado como un agravante, teniendo en cuenta, además, el aparente engaño que ha sufrido MRG para acceder a dicha información. Nuestros tribunales se han pronunciado en numerosas ocasiones sobre la aplicación imperativa de los criterios de graduación de las sanciones y el control jurisdiccional de la proporcionalidad en su imposición por la Administración. Por citar alguna jurisprudencia del amplio repertorio disponible, la Sentencia del Tribunal Supremo de 8 de octubre de 2003 dice que: "Pues bien, partiendo de ahí ha de señalarse, una vez más (como más reciente puede verse la sentencia de 7 Jul. (LA LEY 10230/2004), que el principio de proporcionalidad en su vertiente aplicativa ha servido en la jurisprudencia como un importante mecanismo de control por parte de los Tribunales del ejercicio de la potestad sancionadora de la Administración cuando la norma establece para una infracción varias sanciones posibles o señala un margen cuantitativo para la "ilación de la sanción pecuniaria; y, así, se viene insistiendo en que el mencionado principio de proporcionalidad o de la individualización de la sanción para adaptarla a la gravedad del hecho hacen de la determinación de la sanción una actividad reglada y, desde luego, resulta posible en sede jurisdiccional no sólo la confirmación o eliminación de la sanción impuesta sino su modificación o reducción" Por ello, y considerando que debe entenderse que si la tipificación de la infracción cometida no es una facultad discrecional de la Administración, sino una aplicación de las normas derivada del eventual juicio de subsunción, no tendría cabida: (
  23. i)tipificar como infracción los hechos cometidos, pues en ningún caso tienen fundamento respecto del tenor literal del tipo, (
  24. ii)no considerar la ausencia de culpabilidad de MRG por la debida actuación en el cumplimiento de las obligaciones estipuladas y, (iii) subsidiariamente, imponer una sanción muy grave, con los agravantes estipulados, contraviniendo el principio de culpabilidad y proporcionalidad y la constante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 jurisprudencia al respecto. Lo contrario sería contrario al principio de prohibición de arbitrariedad recogido en el art. 9.3 de la Constitución. En definitiva, de la aplicación de la normativa y jurisprudencia resulta que, en el hipotético e improbable supuesto de que se considerara que la conducta de MRG es constitutiva de infracción, a la luz de los criterios expuestos, la sanción debe considerarse en su grado mínimo ya que no son de aplicación las circunstancias incluidas como agravantes. Lo contrario supone una infracción del principio de proporcionalidad de las sanciones recogido en el artículo 131 de la LRJPAC que determina la nulidad de la Resolución impugnada con base en el artículo 63.1 del mismo cuerpo legal. En virtud de todo lo anterior, SOLICITA, Que se tenga por presentado el presente escrito, junto con la documentación que se Sancionadora de fecha 05/11/19 y, previos los trámites oportunos, se resuelva el presente Recurso de Reposición acordando la nulidad de la Resolución del Expediente Sancionador correspondiente al procedimiento nº PS/00188/2019, de la sanción estipulada en la misma y, consecuentemente, el archivo del procedimiento. Por ser todo ello conforme a Derecho. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). II En relación con las manifestaciones efectuadas por la entidad reclamada, en su escrito de recurso de reposición, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho, de la Resolución del expediente sancionador PS/00188/2019, el 05/11/19. No obstante, se debe aclarar varios puntos: 1.- No es cierto que esta AEPD defienda que MRG era conocedora de la existencia de un contrato de alquiler entre la titular del punto de suministro y dos personas más. Lo que se asume como cierto en esta Agencia es la existencia de un contrato de alquiler y que el email proporcionado por los inquilinos, a efectos de notificación, era ***EMAIL.1, según se indica en el mismo. Desde dicho correo electrónico (propiedad de los inquilinos y no de la titular del punto de suministro, que es lo que esta Agencia toma como cierto y no otra cosa), se envió un correo electrónico a la compañía MRG, con el asunto: “Historial de lecturas A.A.A.” y con el texto: “Buenas tardes, con DNI ***DNI.1 (…). Pues bien, la entidad MRG, creyendo que la persona que enviaba el correo electrónico era la titular del punto de suministro, sin ningún tipo de comprobación adicional, proporciona la información solicitada y sin la más mínima comprobación de veracidad de la identidad de la persona que solicita la información. Más aún, la entidad MRG argumenta que, “tras comprobarse que la solicitante era efectivamente la titular del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 punto de suministro (…)”, sin que se haya aportado, por parte de la entidad, prueba de las comprobaciones que, según manifiesta, hicieron. También indica la compañía, en las alegaciones presentadas el 10/07/19 en esta Agencia que, “(…) Se recoge también en el Acuerdo de Inicio de Procedimiento Sancionador, que el email no tiene relación con la titular. Sobre este aspecto, manifestar que en la operativa diaria con los titulares de los puntos de suministro, no es extraño que se dirijan a MRG desde un correo distinto al registrado en la base de datos de MRG, no existiendo, en la mayoría de los puntos de suministro ningún correo registrado en la base de datos de MRG. De hecho, aunque el email se considere un dato personal, no es un dato definitivo para una identificación, sino que se utiliza como un canal de contacto (…)”. Flaco favor se hace la compañía al declarar que los correos electrónicos, aunque reconoce que es un dato personal, son utilizados como simple medio de comunicación. Demuestra con ello la entidad MRG la falta de diligencia puesta al no comprobar y corroborar, que quien se pone en contacto con ellos, a través de este medio, es realmente quien dice ser y no otra persona ajena. 2º.- Sobre la grabación de la conversación que la presunta titular del punto de suministro realiza con un agente de la compañía y que se trascribe en las alegaciones se aprecia lo siguiente. Agente: Usuaria: A: U: A: U: A: U: A: De acuerdo, cuál es su nombre para dirigirme a usted? Mmmmm. . .A.A.A.. A.A.A. me facilita por favor el DNI de la persona titular para acceder a la información? (…) ***DNI.1 Facilíteme A.A.A. un teléfono móvil de contacto o un teléfono de contacto. ***TELEFONO.1. (…) 963. Nos consta este teléfono, nos consta, bueno si aquí ***TELEFONO.1. Si está correcto, y confírmeme un correo electrónico A.A.A.. ***EMAIL.1 Un momento, ***EMAIL.1. A ver. Ahora sí. Lo guardamos. Bien (…). En la conversación mantenida entre la compañía y la usuaria, el agente de la compañía solicita expresamente el “DNI de la persona titular para acceder a la información” sin importar que la interlocutora de la conversación sea la propia titular. Solamente se limita a pedir el DNI de la titular y no el DNI de la interlocutora. Además, considera como válido el número de teléfono indicado en la conversación cuando se ha comprobado que dicho número de teléfono no pertenece a la titular del punto de suministro sino a la inquilina. Respecto al correo electrónico, el agente de la compañía se limita a decir “…ahora sí, lo guardamos. Bien…” cuando es aportado por la usuaria. De todo lo anterior se constata la falta de diligencia debida a la hora de comprobar que la persona que se pone en contacto con ella en realmente quien dice ser y no otra persona, pues cuando la usuaria proporciona dos datos (el número de teléfono y el correo electrónico), que no son de la titular del punto de suministro sino de los inquilinos, la compañía los asume como ciertos y pertenecientes a la titular al igual que el nombre y el DNI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 3º.- Respecto de la vulneración del principio de tipicidad, indicar que, la infracción imputada a la entidad MRG, es por la falta diligencia debida que se debe poner a la hora de la recogida, verificación y validación de los datos personales de las personas que acceden a sus servicios”, demostrando con su actuación que: “el protocolo implantado por la entidad para dicha verificación no cumple las mínimas garantías que eviten posibles fraudes en la usurpación de la identidad”, que eviten la comisión de la infracción, y así lo recoge expresamente el artículo 5.1.
  25. f)del RGPD, cuando dice textualmente que, los datos personales deberán ser: “tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). Pues bien, a lo largo de todo el procedimiento lo que ha quedado claro es que, la entidad MRG dio por válido que la persona que se ponía en contacto con ellos y le daba unos datos personales, era la titular del punto de suministro y no otra, sin realizar siquiera la más mínima comprobación de ello, por lo que “fueron tratados sin que se garantizara su seguridad”, y sin que, “se hiciera nada contra un tratamiento no autorizado o ilícito de los mismos y sin que se aplicaran medidas técnicas u organizativas apropiadas para ello”. Incumpliendo todo el precepto indicado en el artículo 5.1.f ) del RGPD, pues: a).- no se hicieron las comprobaciones necesarias; b).los datos personales fueron tratados sin garantizar su seguridad; c).- No se hizo nada contra un tratamiento no autorizado o ilícito de los mismos y d).- no se aplicaron medidas técnicas u organizativas apropiadas para evitar posible fraude en la utilización de datos personales ajenos. 4º.- Respecto de las afirmaciones que hace la entidad MRG cuando asegura que “cumplió en todo caso con su deber de garantizar de forma adecuada la seguridad de los datos personales y solicitó todos los datos de identificación del titular del punto de suministro de conformidad con la normativa aplicable, esto es, cumplió con la Resolución de 12 de abril de 2011 de la DGPEM…” hay que indicar que en dicha norma se especifica, en los diferentes apartados, lo siguiente: “… la grabación de audio… del cliente incluirá como mínimo la siguiente información…: 1. Se informa al cliente de que la conversación se está grabando y se le pregunta si está de acuerdo con que la conversación sea grabada. Respuesta SÍ/NO. 2. Fecha (día, mes y año), hora (hh:mm en formato de 24h) en que tiene lugar la conversación y opcionalmente el número de teléfono desde el que se conecta el cliente. 3. Se solicita al cliente que aporte o confirme la siguiente información:
  26. a)Nombre del titular del punto de suministro, del usuario con justo título o denominación de la entidad titular, nombre y DNI del apoderado.
  27. b)Si es el titular del punto de suministro, el usuario con justo título o el apoderado de la empresa (la respuesta tiene que ser afirmativa).
  28. c)Dirección de suministro.
  29. d)CUPS.
  30. e)DNI/CIF del titular del punto de suministro o del usuario con justo título” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 Pues bien, si ahora comprobamos la conversación mantenida entre el agente de la entidad MRG y la usuaria, se constata que el agente de la entidad MRG no cumplió con el mandato de dicha norma, pues según se puede apreciar, en la normativa se indica claramente que, “… incluirá como mínimo la siguiente información…” y al agente de la entidad MRG le bastó para identificar a la persona que se ponía en contacto con ellos con el nombre y DNI, obviando, por ejemplo, pedirle la CUPS (el código universal del punto de suministro). MRG no garantizó pues, la seguridad de los datos personales, ya que no solicitó todos los datos de identificación de la persona que estaba al otro lado de la línea telefónica, conforme le obliga la normativa aplicable. 5º.- Sobre la falta de culpabilidad de la entidad MRG indicar que, no estamos valorando en este expediente si la reclamante cumplió o no con las obligaciones que le vienen impuestas conforme a la normativa vigente en materia de suministro energético, y si eso hubiera evitado la suplantación de su identidad a la hora de contactar con la compañía MRG. Lo que se está valorando en este expediente es si la entidad MRG actúa o no con la debida diligencia a la hora tratar los datos personales de sus clientes y si contrasta o no con la debida diligencia que quién se pone en contacto con ellos y dice ser, es realmente quien dice ser y no otra persona. 6º.- Sobre la proporcionalidad de la sanción hay que aclara que, se consideran agravantes, en este caso, solamente el apartado h), del artículo 83.2 del RGPD, por la forma en que la Autoridad de Control tuvo conocimiento de la infracción al ser conocida a partir de una denuncia interpuesta por la reclamante, careciendo en este caso de la acción “proactiva” de la compañía, como marca y especifica el RGPD y el apartado
  31. b)del artículo 76.2 de la LOPDGDD, por la gran cantidad de datos personales que maneja la compañía al ser una empresa que actúa en sector energético con más de 850.000 abonados en la actualidad (según datos obtenidos de su página web www.madrilena.es . Frente a solo estos dos apartados agravantes, se consideran como atenuantes, los apartados a); b); e);
  32. g)y
  33. k)del artículo 83.2 del RGPD. Atendiendo a todo ello y considerando que la entidad MRG es una gran compañía con más de 850.000 abonados, responsable de la buena gestión y custodia de sus datos personales de todos ellos, se considera que una sanción de 12.000 euros es ajustada al grado mínimo que solicita la compañía. III Los hechos que han sido declarados probados no han sido puestos en cuestión por la entidad recurrente. En resumen, el escrito de recurso de reposición presentado por la entidad MADRILEÑA RED DE GAS, no contiene nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por MADRILEÑA RED DE GAS S.A.U. con CIF: A65142309, contra la Resolución de esta Agencia Española C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 de Protección de Datos dictada con fecha 05/11/19, en el procedimiento sancionador PS/00188/2019. SEGUNDO: NOTIFICAR la presente resolución a la entidad, MADRILEÑA RED DE GAS S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.