1/16 Procedimiento PS/00281/2014 ASUNTO: Resolución del Recurso de Reposición Nº RR/00839/2014 Examinado el recurso de reposición interpuesto por la entidad Iberdrola Clientes SAU (antes IBERDROLA GENERACIÓN SAU) contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00281/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 2 de octubre de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00281/2014, en la que se acuerda Imponer las siguientes sanciones: 1) A ENR WATIO SL multa de 3.000 € (tres mil euros), de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la LOPD, por la infracción del artículos 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. 2) A Iberdrola Clientes SAU (antes Iberdrola Generación SAU) multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la LOPD, por la infracción del artículos 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. Dicha resolución, que fue notificada al recurrente en fecha 07/10/14, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado procedimiento sancionador PS/00281/2014 quedó constancia de los siguientes: <<< HECHOS PROBADOS 01. 18/04/12, Endesa Energía SAU emite factura por importe de 117,99 € a nombre de la persona denunciante (A.A.A., DNI ***DNI.1) por el suministro de gas y “mantenimiento de gas con calefacción” al punto de suministro en (C/..............1)– Madrid, con domiciliación bancaria en la ccc ***CCC.1. 02. 20/05/12, Gas Natural SUR SDG SA emite factura por importe de 24,23 € a nombre de la persona denunciante (A.A.A., DNI ***DNI.1) por el suministro de electricidad al punto de suministro en (C/..............1)– Madrid, con domiciliación bancaria en la ccc ING DIRECT ***CCC.1. 03. 09/06/12, fecha de los formularios de “Contrato de energía suministros de electricidad y gas” de Ibergen suscritos por B.B.B., TIE ***NIE.1, para contratar el suministro de electricidad, de gas natural, servicio de mantenimiento de gas, urgencias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 eléctricas y servicio de protección de pagos plus de electricidad. Figura como titular A.A.A., DNI ***DNI.1, teléfono ***TEL.1 punto de suministro en (C/..............1)– Madrid, y forma de pago por V (ventanilla bancaria). 04. En los formularios figura en la parte superior derecha pegatina con la impresión “CMC-Alcalá-Enr Wátio-Gas/Dual”. Se adjunta copia del TIE del firmante y copia de facturas de las anteriores comercializadoras. En su informe a la Inspección de Datos Ibergen afirma que la recogida de datos y la cumplimentación del formulario han sido realizadas por la empresa ENR Wátio SL, contratada para ese fin. 05. 02/07/12, fecha de alta en la base de datos de Ibergen de los datos de la persona denunciante (A.A.A.) como cliente por el contrato de suministro de gas. 06. 09/07/12, fecha de alta en la base de datos de Ibergen de los datos de la persona denunciante (A.A.A.) como cliente por el contrato de suministro de electricidad. 07. 24/08/12, factura de gas natural emitida por Ibergen por el periodo de suministro de 02/07/12 a 14/08/12 por importe de 32,04 €, incluyendo “servicio mantenimiento de gas” 08. 24/08/12, factura de electricidad emitida por Ibergen por el periodo de suministro de 09/07/12 a 21/08/12 por importe de 39,44 €, incluyendo “servicio urgencias eléctricas” y “servicio de protección de pagos plus”. 09. 21/09/12, fecha de baja en la base de datos de Ibergen del contrato de suministro de gas a nombre de la persona denunciante (A.A.A.) a petición de ésta por cambio de comercializadora. 10. 26/09/12, factura de gas natural emitida por Ibergen por el periodo de suministro de 15/08/12 a 21/09/12 por importe de 46,84 €, incluyendo “servicio mantenimiento de gas”. 11. 02/10/12, la persona denunciante en su entidad bancaria ordena una transferencia de 32,04 € a la cuenta de Iberdrola en B. Santander, en concepto de recibo de gas de agosto y otra de 46,84 € del de septiembre. Igualmente ordena otra de 39,44 € por el recibo de la luz. 12. 19/10/12, fecha de la factura de electricidad emitida por Ibergen, por el concepto de “derechos de enganche” dos veces, por importe de 21,88 €. 13. 23/10/12, factura emitida por Ibergen por importe de 8,94 € por el concepto “servicio mantenimiento de gas”. Por el mismo importe y concepto emitió facturas el 20/11/12, 20/12/12, 22/01/13, 18/02/13, 20/03/13, 19/04/13 y 20/05/13 14. 26/10/12, factura de electricidad emitida por Ibergen por el periodo de suministro de 21/08/12 a 22/10/12 por importe de 129,99 €, incluyendo “servicio urgencias eléctricas” y “servicio de protección de pagos plus”. 15. 29/10/12, fecha de baja en la base de datos de Ibergen del contrato de suministro de electricidad a nombre de la persona denunciante (A.A.A.) a petición de ésta por cambio de comercializadora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 16. 30/10/12, la persona denunciante en su entidad bancaria ordena una transferencia de 21,88 € a la cuenta de Iberdrola en B. Santander, en concepto de factura de la luz. En la misma cuenta de la denunciante se recibe y abona recibo de Ibergen por importe de 129,99 €. 17. 06/11/12, la persona denunciante en su entidad bancaria recibe y abona recibo de Ibergen por importe de 10,83 €. 18. 22/11/12, factura de electricidad emitida por Ibergen por el periodo de suministro de 22/10/12 a 29/10/12 por importe de 10,83 €, incluyendo “servicio urgencias eléctricas” y “servicio de protección de pagos plus”. 19. 01/07/13, la persona denunciante por correo electrónico pregunta a Ibergen por qué motivo le siguen enviando facturas si ya se dió de baja en el suministro de gas. A petición de Ibergen les remite sus datos de identidad, teléfono, referencia de contrato y dirección de punto de suministro. Le informan que mantiene el contrato de “servicio mantenimiento de gas” que concluye el 02/07/13 -si solicita la baja- y que tiene un impago de 32,08 €. Solicita la baja y se la tramitan. 20. 03/07/13, la persona denunciante por correo electrónico solicita a Ibergen le remita duplicado de las facturas para poder liquidar la deuda. Le piden su dirección de correspondencia para poder enviarlas, por el mismo medio se la envía ((C/..............2)<Madrid>) y más tarde le dicen que los duplicados han sido enviados a la dirección indicada. 21. 12/07/13, la persona denunciante presenta denuncia dirigida a la AEPD (entrada 22/07/13) por los hechos relacionados arriba. 22. 12/07/13, la denunciante remite a Ibergen (entrada 29/07/13) reclamación solicitando la devolución de las facturas pagadas de gas y electricidad y la anulación de las facturas de “servicio mantenimiento de gas”. Se basa en: <<< Con fecha 9 de junio de 2012, se firmó un contrato de suministro de energía eléctrica (referencia contrato ***CONTRATO.1) y un contrato de suministro y servicio de mantenimiento de gas (referencia contrato ***CONTRATO.2) en el domicilio sito en (C/..............1) de Madrid, figurando mis datos como titular de esos contratos, sin mi consentimiento, y firmados por otra persona distinta. A raíz de estos contratos se emitieron distintas facturas y al no disponer de mis datos bancarios estas facturas, supuestamente, fueron enviadas al domicilio para su abono, Al no ser abonadas las primeras facturas, se interrumpió el suministro eléctrico. En ese momento fue cuando tuve constancia de la existencia de estos contratos. Para poder restablecer el suministro tuve que pagar las facturas pendientes, así como otra factura de enganche. Una vez abonadas pude dar de baja los contratos. Pero, parece ser que el contrato para el servicio de mantenimiento del gas, seguía vigente, no entiendo por qué, y han seguido emitiéndose facturas a mi nombre. >>> 23. 13/09/13, Ibergen por correo postal, dirigido a (C/..............1)– Madrid, le solicita a la denunciante justificante de pago de las facturas a su nombre. Le son enviadas el 30/09/13. 24. 27/09/13, Ibergen recibe la solicitud de la Inspección de Datos de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 Agencia para que proporcione información sobre la denuncia de A.A.A., DNI ***DNI.1. 25. 06/10/13, Ibergen en su informe a la Inspección de Datos de la Agencia afirma que todas las facturas han sido anuladas y abonadas a la denunciante (no acreditado), asumiendo el coste de gas y luz. 26. 07/10/13, Ibergen por escrito a su domicilio le informa que “dado que no se ha realizado la visita de la instalación de gas de este punto de suministro, hemos procedido a anular, los importes facturados correspondientes a este servicio.” 27. 07/10/13, Ibergen emite, a nombre de la denunciante y dirigida a su domicilio, nueve facturas por importe 00,00 € rectificativas de las ya emitidas por el concepto “servicio mantenimiento de gas”. 28. 07/10/13, Ibergen emite, a nombre de la denunciante y dirigida a su domicilio, dos facturas de gas rectificativas de los importes de las ya emitidas: 19,65 € en vez de 32,04 € y 35,68 € en vez de 64,84 €. 29. 29/10/13, Ibergen emite, a nombre de la denunciante y dirigida a su domicilio, una factura de gas rectificativa del importe de la ya emitida: 00,00 € en vez de 35,68 €. 30. 29/10/13, Ibergen emite, a nombre de la denunciante y dirigida a su domicilio, una factura de electricidad rectificativa del importe de la ya emitida: 00,00 € en vez de 129,99 €. 31. 30/10/13, Ibergen emite, a nombre de la denunciante y dirigida a su domicilio, una factura de electricidad rectificativa del importe de la ya emitida: 00,00 € en vez de 21,88 €. 32. 01/07/14, fecha de publicación en el BORME de la trasmisión -por escisión parcial- de IBERGEN del negocio de la actividad comercializadora minorista de dicha empresa a la sociedad Iberdrola Clientes SAU (HIBERCLI) que se subroga en todos los derechos y obligaciones derivados de dicho contrato, incluido el contrato de suministro en cuestión en este procedimiento. >>> TERCERO: Iberdrola Clientes SAU (antes IBERDROLA GENERACIÓN SAU) ha presentado el 06/11/14 en esta Agencia Española de Protección de Datos recurso de reposición. Solicita se establezca la cuantía de la sanción, dentro de las infracciones leves, en su importe mínimo. Alega falta de proporcionalidad entre la sanción impuesta y la naturaleza del hecho y de los perjuicios causados al cliente. Da por hecho que entre propietaria e inquilino había un “acuerdo de conveniencia entre la propietaria de la vivienda y su inquilino de mantener la titularidad del “contrato de la luz” a nombre de la propietaria pero pagado por el inquilino, que era realmente el usuario de la energía.” Así mismo alega: “… que la denunciante no comunicó a IBERCLI su disconformidad con el contrato hasta casi un año después de la baja del contrato con IBERCLI y la duración del mismo fue sólo de tres meses. El “servicio mantenimiento de gas” se mantuvo hasta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 la petición de baja de dicho servicio ya que a IBERCLI no le constaba que lo hubiese contratado con otra empresa comercializadora, como así hizo con el suministro de gas. Las facturas … fueron anuladas y, por tanto, no han sido abonadas no por la propietaria ni por el inquilino asumiendo IBERCLI el importe íntegro de dicho coste. …, se ha tratado de la tramitación del alta de un único contrato de un suministro de electricidad y gas (realmente, un cambio de comercializadora manteniendo la titularidad del contrato) solicitado por el usuario efectivo de la energía, que ha afectado a un único cliente y que no ha causado perjuicio alguno para el cliente afectado. … que debe tenerse en cuenta, en este caso, la aplicación del artículo 45.5 de la LOPD, en su apartado a), …, ha existido una concurrencia significativa de la mayoría de los criterios enunciados en el artículo 45.4 de la LOPD ya que: - … la conducta de la denunciante y de su inquilino por la relación existente entre ambos ha podido inducir a la comisión de la infracción. - El volumen del tratamiento se ha limitado a un único contrato de un cliente y exclusivamente para el suministro de electricidad y gas en un hogar. - La actividad principal de IBERCLI no es el tratamiento de datos de carácter personal. - El volumen de negocio de IBERCLI no debe ser motivo para provocar un aumento en el importe de la sanción propuesta. La facturación de ese contrato es la propia de un suministro de electricidad y gas doméstico (250 € en 3 meses). - IBERCLI no ha obtenido beneficios como consecuencia de la infracción - ni era ésa su intención - al realizar el tratamiento de los datos-. Las facturas emitidas a nombre de la denunciante fueron anuladas. - No ha existido intención de violar la normativa en materia de protección de datos. - No se han causado daños al denunciante ni a terceras personas. En cualquier caso, resulta totalmente EXCESIVO sancionar con 50.000 euros un tratamiento singular debido a una actuación incorrecta provocada debido a una situación irregular previa entre la denunciante y su inquilino que ha afectado a un solo cliente y que ha sido identificado, reconocido y subsanado. Téngase en cuenta que la facturación total del suministro de electricidad y gas en estos tres meses (que fue anulada en su totalidad) fue de 250€ aproximadamente, por la que la sanción propuesta es 200 veces dicho importe, lo que es absolutamente desproporcionado. Dicha cuantía de multa debería corresponder más a casos de tratamientos masivos intencionados con finalidad de obtener algún tipo de beneficio o que hubieran provocado consecuencias verdaderamente graves, y no a un caso puntual de un consumidor. >>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La resolución impugnada se basa en los hechos probados trascritos y en los Fundamentos de Derecho que a continuación se reproducen: <<< II De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Se llega a la conclusión de que la actuación de las imputadas constituye, en cada una de las conductas, una infracción del artículo 6.1 de la LOPD y su principio del consentimiento, tipificada en el 44.3.
- b)de la misma ley. A. Los datos personales de la persona denunciante han sido tratados por las dos entidades (ENR WATIO SL e Ibergen) imputadas, para la recogida de datos, tramitación de contrato y tratamientos posteriores. De la intervención de ENR WATIO SL en los hechos denunciados tenemos la pegatina impresa que anota su nombre, adherida a los dos contratos y las manifestaciones escritas de Ibergen. B. ENR Wátio en sus alegaciones ha hecho constar que el empleado que realizó la recogida de datos y la cumplimentación de los formularios de contratación fue despedido por el incumplimiento en su actuación en el caso de las normas previamente establecidas y en las que fue instruido y firmó el correspondiente documento. C. La denunciante es propietaria de una vivienda y tiene contratada a su nombre la luz y el gas con dos compañías diferentes a la denunciada. ENR WATIO SL, por encargo de Ibergen, recaba datos para cumplimentar el formulario de contratación a nombre de la denunciante, que es firmado por una tercera persona que se identifica pero no acredita la representación de la titular de los datos para realizar esos contratos. D. Recibidos los formularios firmados por esa tercera persona, -sin comprobar la identidad de la titular de los datos con copia del DNI y la necesaria representación otorgada para contratar, y sin obtener su consentimiento- tramita los cambios de compañías e incorpora a su base de datos de clientes los datos de la persona denunciante. E. Emite facturas que resultan impagadas, como consecuencia de ello se corta el suministro –según la denunciante- y ésta tiene conocimiento del cambio de compañías. Realiza las gestiones necesarias para cambiar de compañías y conseguir la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 baja en la denunciada que la obliga a pagar las facturas de gas y luz, para conseguirlo. F. En Ibergen ha permanecido de alta desde 02/07/12 a 21/09/12 en suministro de gas y del 09/07/12 al 29/10/12 en el de electricidad. En el contrato de mantenimiento de 02/07/12 a 02/07/13 siguió emitiendo facturas. G. Las reclamaciones por diversos medios efectuadas por la denunciante concluyen con la rectificación y anulación de todas las facturas de luz, gas y mantenimiento, tras la recepción de la petición de información de la Agencia. H. HIBERCLI, entidad sucesora de IBERGEN, reconoce la culpabilidad en los hechos por no haber comprobado que el firmante de los contratos no aportó el documento de representación otorgado para ese fin por la titular de los datos, ahora denunciante. III. La LOPD establece: “Artículo 6. Consentimiento del afectado “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El principio del consentimiento del afectado para la recogida o tratamiento de los datos personales del mismo es uno de los pilares de la protección de datos en el vigente ordenamiento jurídico español, imprescindible para preservar el derecho fundamental constitucionalmente protegido de la intimidad de las personas. Se les hace responsables a cada una de las entidades imputadas en el presente procedimiento de una infracción del artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Carece del consentimiento inequívoco de la afectada el tratamiento efectuado por ENR WATIO SL e Ibergen, que tratan los datos de la persona denunciante para cumplimentar formularios e iniciar los cambios de compañías comercializadoras, incorporarlos a su fichero de clientes y emitir facturas, sin tener base documental en que basar su contratación y su consentimiento para tratar sus datos. Las imputadas no han acreditado motivos, razón o circunstancia que justificara ese tratamiento de datos sin consentimiento de la persona afectada. La tercera persona que les proporciona los datos y firma los formularios carece de representación de la titular de los datos para actuar en su nombre. El hecho de que esa persona aporte dos facturas no implica tener representación de la titular o el consentimiento de ella. En esas facturas figura domiciliado el pago en la cuenta de la titular. El empleado de ENR WATIO SL no puede poner la cuenta de domiciliación porque en las facturas no se incluyen los veinte dígitos de la ccc necesarios. IV. El artículo 44.3.
- b)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
- b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. La Audiencia Nacional ha manifestado en su Sentencia de 22/10/2003 que “... la descripción de conductas que establece el artículo 44.3.
- d)de la Ley Orgánica 15/1999 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos, realizando envíos publicitarios”. En este caso, ENR WATIO SL e Ibergen han incurrido en la infracción arriba descrita ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. Han tratado los datos de la persona denunciante sin contar con su consentimiento, lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
- b)de la citada Ley Orgánica. V. El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Dado que los hechos objeto de este procedimiento han sido tipificados como infracción grave, la sanción que procede imponer a debe ser de un importe comprendido entre 40.001 y 300.000 euros. VI. El artículo 45.5 de la LOPD, establece que 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. ENR WATIO SL es una empresa pequeña, que ha actuado siguiendo un protocolo concreto establecido por parte de la responsable del fichero –Ibergen- y se limita a conseguir que los posibles clientes suscriban los formularios de contratación y entregárselos a Ibergen, sin comprobar que los datos recogidos y la voluntad de contratación han sido puestos de manifiesto por la titular de los datos o por representante suya con acreditación suficiente. Circunstancias que junto con las correspondiente del 45.5 permiten la aplicación del 45.5.
- a)y la imposición de una sanción leve. Ibergen en su escrito de alegaciones al acuerdo de inicio solo solicita archivo de actuaciones. En las alegaciones a la propuesta HIBERCLI –empresa sucesora de IBERGEN- reconoce la culpabilidad en los hechos y acepta una sanción por el importe mínimo de las leves. Ese reconocimiento no puede calificarse de espontaneo, pues no se hizo en el informe en la fase de investigación ni en las alegaciones al acuerdo de inicio. Por ese motivo no puede ser aplicado el 45.5.
- d)tal como solicita la imputada. Es necesario analizar la reacción de la comercializadora ante las reclamaciones de la persona denunciante. La persona denunciante, al tener conocimiento del corte de suministro y los cambios de comercializadoras, tramita el cambio de compañía y antes de dos meses lo ha conseguido, previo pago de las facturas como condición inevitable. Conseguir la anulación de las facturas y la devolución de lo pagado no lo consiguió hasta un año más tarde, después de presentar la denuncia en la Agencia. VII. El artículo 45.4 de la LOPD, establece que La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Es necesario examinar las circunstancias de aplicación del 45.4. Los criterios de graduación de las sanciones establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, da lugar a las siguientes observaciones: + Respecto a ENR Wátio: Su actuación es breve en el tiempo. Desde la recogida de datos y cumplimentación de formulario a la entrega de los mismos a Ibergen. Con escasa vinculación al tratamiento de datos y pequeño volumen de negocio. No ha sido objeto de procedimientos sancionadores. Circunstancias concurrentes que teniendo en cuenta el criterio d la Agencia en casos similares permiten fijar el importe de la sanción en 3.000 € + Respecto a Ibergen: - El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio del consentimiento durante más de 15 meses. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, puesto que Ibergen es empresa que tiene como actividad la prestación de facturación de suministros de energía y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene el Grupo, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 - En lo que se refiere al volumen de negocio hay que hacer constar que es un hecho notorio que excluye la necesidad de aportar elemento probatorio alguno. Pertenece a uno de los grupos energéticos más importantes de la península ibérica y en otros países. - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó incorporar a la base de datos como cliente a la persona denunciante y ordenó el cambio de comercializadoras no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a quien a los supervisores de todos ellos. Todos esos pequeños incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. - La imputada ha sido objeto de expedientes sancionadores por infracciones similares. - No se ha acreditado daño cuantificable en euros, solo puede computarse la redacción y presentación de escritos de reclamación y denuncias, y todas las gestiones a que se ve obligado la persona denunciante. -El balance de todas las circunstancias contempladas en el 45.4 de la LOPD permite graduar las sanciones en un importe de 50.000 €. VIII La alegación de ENR Wátio de que se ha producido la prescripción de los hechos por el transcurso de más de dos años desde que estos se produjeron hasta la fecha de notificación del acuerdo de inicio debe ser desestimada por las razones que a continuación se exponen. La notificación del acuerdo de inicio no fue posible porque el envío postal certificado con aviso de recibo a través del Servicio de Correos fue devuelto con la anotación de desconocido. Esta actuación de Correos fue realizada conforme al Real Decreto 1829/1999, de 3 de diciembre, por el que se aprueba el Reglamento por el que se regula la prestación de los servicios postales, en desarrollo de lo establecido en la Ley 24/1998, de 13 de julio, del Servicio Postal Universal y de Liberalización de los Servicios Postales. («BOE» núm. 313, de 31 de diciembre de 1999. Texto consolidado. Última modificación: 9 de mayo de 2007), que establece: “Artículo 43. Supuestos de notificaciones con un intento de entrega. No procederá un segundo intento de entrega en los supuestos siguientes:
- a)Que la notificación sea rehusada o rechazada por el interesado o su representante, debiendo hacer constar esta circunstancia por escrito con su firma, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 identificación y fecha, en la documentación del empleado del operador postal.
- b)Que la notificación tenga una dirección incorrecta.
- c)Que el destinatario de la notificación sea desconocido.
- d)Que el destinatario de la notificación haya fallecido.
- e)Cualquier causa de análoga naturaleza a las expresadas, que haga objetivamente improcedente el segundo intento de entrega. En los supuestos previstos anteriormente, el empleado del operador postal hará constar en la documentación correspondiente la causa de la no entrega, fecha y hora de la misma, circunstancias que se habrán de indicar en el aviso de recibo que, en su caso, acompañe a la notificación, aviso en el que dicho empleado del operador postal hará constar su firma y número de identificación.” Cumplido ese requisito de intento de notificación con resultado de desconocido, la Agencia procedió a la notificación por edictos en el Ayuntamiento y en el BOE. El Tribunal Supremo tiene declarada como doctrina legal que la fecha del intento de notificación, una vez cumplidos los demás requisitos de publicación es la fecha de notificación a tener en cuenta en el cómputo de los plazos que hayan sido establecidos. Así consta en la sentencia del Tribunal Supremo, Sala de lo Contencioso (Pleno), de 3 de diciembre de 2013, en que rectifica su doctrina legal sobre el Art. 58.4 de la Ley 30/1992, relativo a la obligación de notificar las resoluciones o actos administrativos dentro del plazo máximo de duración de los procedimientos: “Rectificamos la doctrina legal declarada en la sentencia de este Tribunal Supremo de fecha 17 de noviembre de 2003, dictada en el recurso de casación en interés de la Ley número 128/2002, en el sentido, y sólo en él, de sustituir la frase de su párrafo segundo que dice «[...] el intento de notificación queda culminado, a los efectos del artículo 58.4 de la Ley 30/1992, en el momento en que la Administración reciba la devolución del envío, por no haberse logrado practicar la notificación [...]», por esta otra: «el intento de notificación queda culminado, a los efectos del artículo 58.4 de la Ley 30/1992, en la fecha en que se llevó a cabo”. De esta manera, la doctrina legal queda fijada como sigue: “Que el inciso intento de notificación debidamente acreditado que emplea el artículo 58.4 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se refiere al intento de notificación personal por cualquier procedimiento que cumpla con las exigencias legales contempladas en el artículo 59.1 de la Ley 30/1992, pero que resulte infructuoso por cualquier circunstancia y que quede debidamente acreditado. De esta manera, bastará para entender concluso un procedimiento administrativo dentro del plazo máximo que la ley le asigne, en aplicación del referido artículo 58.4 de la Ley 30/1992, el intento de notificación por cualquier medio legalmente admisible según los términos del artículo 59 de la Ley 30/1992, y que se practique con todas las garantías legales aunque resulte frustrado finalmente, y siempre que quede debida constancia del mismo en el expediente. En relación con la práctica de la notificación por medio de correo certificado con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 acuse de recibo, el intento de notificación queda culminado, a los efectos del artículo 58.4 de la Ley 30/1992, en la fecha en que se llevó a cabo, siempre que quede constancia de ello en el expediente.” En el caso que nos ocupa el intento de notificación tuvo lugar a las 13,00 horas del día 28/05/14, tal como fue anotado en el aviso recibo, por el cartero con NIP ********, que lo firma junto a la X de la casilla de desconocido y el sello fechador de la correspondiente oficina de correos. Si el hecho de la infracción se produjo el día 09/06/12 y la notificación del acuerdo de inicio el 28/05/14 la prescripción no se ha producido, pues no se ha consumido el plazo de dos años previsto para las infracciones graves. >>> III La recurrente invoca, para su petición de una sanción por el importe mínimo de las leves, el artículo 45.5.
- a)en relación con el 45.4, ambas de la LOPD. Las circunstancias a que hacen referencia las normas invocadas fueron analizadas en los fundamentos de derecho de la resolución transcritos arriba, especialmente en el VI y VII. Invocar un posible acuerdo previo propietaria / inquilino no es suficiente para afirmar que esa conducta ha inducido a la imputada ha infringir la norma del consentimiento del titular de los datos. La empresa de servicios a quien encargó la captación de clientes, hizo la recogida y primer tratamiento de los datos de la denunciante como titular del contrato sin el consentimiento de esta, sin acreditar su identidad y sin documentar la posible representación de la titular de los datos otorgada al solicitante, cuya identidad tampoco documenta con su DNI. Esta conducta solo es imputable al agente de la empresa de servicios, que fue despedido por ese motivo. HIBERCLI reconoce la responsabilidad de no hacer exigido la documentación de la identidad de la titular y del solicitante cuando recibió la documentación de la empresa de servicios. Nadie le indujo en su actuación de tratamiento de datos en ese momento. No es un hecho puntual, ni lo disculpa la actuación del usuario que atendió al agente de servicios, es una actuación sin tener en cuenta las normas de protección de datos sin el consentimiento del titular. Conducta que asume la recurrente cuando asume los datos que le proporciona la empresa de servicios, les incorpora a su base de datos de clientes e inicia la gestión del contrato. Pudo gestionarse un contrato con el consentimiento de la titular de los datos debidamente representada por otra persona, documentando la representación e identidad de ambos. También pudo gestionarse un contrato con los datos del usuario de la vivienda, documentando su identidad. Pero la actuación de la recurrente no eligió ninguna de esas formas. Difícilmente la titular de los datos pudo tener conocimiento del contrato suscrito para mostrar su desacuerdo si nadie le había informado de ello. Solo cuando se corta el suministro de energía tiene conocimiento del cambio en el contrato de suministros y trata de solucionarlo. Para ello – para solicitar el cambio de compañía- se ve obligada a abonar las facturas no abonadas a la imputada por el inquilino. La actuación objeto del procedimiento sancionador que nos ocupa se refiere a un solo cliente, pero no puede aislarse como actuación única, pues individualmente también en otros procedimientos de la recurrente se reproduce una actuación similar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 que incumple las normas de consentimiento. La actividad principal de la recurrente es la comercialización de suministros de energía y servicios relacionados. Los destinatarios de esa actividad son, en su inmensa mayoría, personas físicas con datos personales necesarios para la gestión de los contratos y que la comercializadora se ve obligada a tratar de forma masiva, dada su implantación en el territorio nacional. Los procedimientos adecuados en materia de protección de datos, que dice tener implantados, no pueden ser invocados como circunstancia atenuante, pues no se ha acreditado que se cumplieran. Es más, no se ha efectuado ninguna actividad de control para comprobar que esos procedimientos eran respetados y regularizar la situación en caso de incumplimiento. La reacción de la recurrente, desde que da de baja el contrato de gas –instada por la denunciante- en septiembre de 2012 hasta que tramita la baja en electricidad y la rectificación de las facturas –la última en octubre de 2013-, no es diligente. Por lo tanto, en el presente recurso de reposición, Iberdrola Clientes SAU (antes IBERDROLA GENERACIÓN SAU) no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Iberdrola Clientes SAU (antes IBERDROLA GENERACIÓN SAU) contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 2 de octubre de 2014 en el procedimiento sancionador PS/00281/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad Iberdrola Clientes SAU (antes IBERDROLA GENERACIÓN SAU). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es