REPOSICION-PS-00327-2018

1/7 Procedimiento nº: PS/00327/2018 ASUNTO: Recurso de Reposición Nº RR/00160/2019 Examinado el recurso de reposición interpuesto por la entidad EDP España, S.A.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00327/2018, y en base a los siguientes HECHOS PRIMERO: Con fecha 30 de enero de 2019, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00327/2018, en virtud de la cual se imponía a EDP España, S.A.U., una sanción de 5.000 €, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 01/02/2019, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00327/2018, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. El 16/01/2018 tiene entrada en esta AEPD escrito del afectado en el que denuncia a EDP al haberle remitido carta comercial a su dirección postal con sus datos personales sin que le haya otorgado su consentimiento; asimismo, declara que tanto su línea de telefonía como su dirección postal se encuentran inscritos en la lista Robinson. SEGUNDO. El denunciante ha aportado copia de la comunicación relativa al registro/modificación datos Servicio Lista Robinson en el que se indica que atendiendo a la petición de cambios solicitada figuran registrados con fecha 03/04/2012 los datos de su dirección postal: ***DIRECCION.1, 28022-Madrid (Madrid). Asimismo, con fecha 26/03/2015 figuran la modificación de datos registrados relativos al teléfono fijo ***TELEFONO.1 y teléfono móvil ***TELEFONO.2. TERCERO. Consta aportada la comunicación postal remitida por EDP al domicilio del denunciante: A.A.A. ***DIRECCION.1 28022-Madrid Madrid, en la campaña publicitaria denominada Expansión Madrid y en la que se ofertaban, bajo la fórmula gas+luz, importantes descuentos de los citados suministros. En la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 citada comunicación se contenía: “Datos identificativos obtenidos de las bases de datos de puntos de suministro de su distribuidora, según lo dispuesto en el Real Decreto 1011/2009, de 19 de junio, por el que se regula la Oficina de Cambio de Suministrador. Pueden ejercer sus derechos de acceso, rectificación, cancelación u oposición dirigiéndose al responsable del tratamiento: EDP Energía, S.A.U. con domicilio en Oviedo, Plaza de la Gesta, 2, 330007.” CUARTO. EDP en escrito de 16/05/2018 ha señalado que el origen de los datos del denunciante “es la base de datos de puntos de suministro de gas (conocido como SIPS de Gas), concretamente se trata de una extracción de dicha base de datos efectuada en agosto de 2017. La información de SIPS de Gas figura en un fichero con Excel… si bien el extracto del mismo en el que figuran los datos del denunciante es el que se acompaña como documento 1. Asimismo, la entidad indica que “La campaña publicitaria se corresponde con la campaña denominada internamente como “Expansión Madrid” compuesta por 23.197 registros, y tal y como se desprende del nombre de la campaña, es una campaña destinada a captar nuevos clientes, siendo los criterios para determinar los destinatarios: provincia, secciones censales, inexistencia de impagos y exclusión registros robinson. El envío de las comunicaciones comerciales se realizó a través de la empresa Gureak Marketing S.L.” QUINTO. EDP no ha acreditado el consentimiento inequívoco del denunciante para el tratamiento de sus datos, ni circunstancia alguna que permitiera el tratamiento de los mismos. TERCERO: EDP España, S.A.U. (en lo sucesivo el recurrente) ha presentado en fecha 1 de marzo de 2019, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo básicamente en las alegaciones presentadas con anterioridad. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a VI ambos inclusive, de la Resolución recurrida. III En relación con el escrito de recurso formulado por el recurrente, hay que señalar que ha quedado acreditado que llevó a cabo acciones comerciales utilizando entre otros los datos del denunciante incumpliendo las obligaciones establecidas en el Real Decreto 1074/2015, de 27 de noviembre, por el que se modifican determinadas disposiciones en el sector eléctrico, entre ellas el artículo 7 del Real Decreto 1435/2002, de 27 de diciembre. El tratamiento de los datos personales del reclamante contenidos en la base de datos de punto de suministro (SIPS) y que fue utilizada por el recurrente para remitirle una comunicación comercial no era acorde con la normativa de protección de datos, vulnerando el artículo 6.1 de la LOPD, con independencia de que el denunciante hubiera inscrito sus datos postales en la lista Robinson de Adigital con la finalidad de evitar comunicaciones comerciales y publicitarias. En la resolución recurrida consta que la cesión de los datos por los distribuidores de energía y el posterior tratamiento de los mismos por parte de los comercializadores del sector energético se encuentra habilitada en la Ley 54/1997, de 27 de diciembre, del Sector Eléctrico y en la Ley 34/1998, de 7 de octubre, del Sector de Hidrocarburos. De conformidad con la citada norma, los datos personales de los usuarios podían obtenerse de las bases de datos de puntos de suministro. Las entidades del sector debían contar con una base de datos denominada Sistema de Información de Puntos de Suministro (SIPS) conteniendo una serie de datos personales de los titulares de los puntos de suministro de gas y electricidad. Y si bien es cierto que en la citada resolución se hacía referencia al artículo 7 del Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión, no es menos cierto que el Real Decreto 1074/2015, de 27 de noviembre, por el que se modifican determinadas disposiciones en el sector eléctrico, estableció una nueva redacción del anterior artículo 7, quedando redactado en los términos siguientes: “2. Las empresas distribuidoras deberán dotarse de los sistemas informáticos necesarios que permitan la consulta de datos del registro de puntos de suministro y la recepción y validación informática de solicitudes y comunicaciones con la Comisión Nacional de los Mercados y la Competencia, los consumidores y los comercializadores de energía eléctrica. Las empresas distribuidoras deberán garantizar el acceso a las bases de datos de puntos de suministro a través de medios telemáticos. En particular, las empresas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 distribuidoras deberán contar con los medios necesarios para que cualquier comercializador o la Comisión Nacional de los Mercados y la Competencia, pueda descargar y proceder al tratamiento de los datos referidos a la totalidad de los puntos de suministro conectados a las redes del distribuidor y a las redes de transporte de su zona, así como llevar a cabo una selección detallada de los puntos de suministro respecto a los cuales quiere acceder a sus datos, en función de las diferentes categorías de datos que componen las citadas bases. En todo caso, ni las empresas comercializadoras ni la Comisión Nacional de los Mercados y la Competencia podrán acceder a cualquier información que directamente identifique al titular del punto de suministro, y en particular, a los datos recogidos en los apartados c),

1. z)y
2. aa)del apartado 1. Las empresas distribuidoras no podrán establecer condición alguna al acceso y tratamiento de estos datos por parte de los comercializadores o de la Comisión Nacional de los Mercados y la Competencia, ni exigir en ningún caso que éstos les proporcionen dato alguno como condición previa de acceso a su base de datos, entre ellos: el Código Universal del Punto de Suministro, NIF o NIE del titular de dicho punto de suministro o número de contrato en vigor de cada punto de suministro concreto, para el cual deseen consultar la base de datos. Sin perjuicio del derecho de acceso a las bases de datos a través de medios telemáticos las empresas distribuidoras deberán remitir a la Comisión Nacional de los Mercados y la Competencia, o a los comercializadores que lo soliciten, los datos relativos a todos y cada uno de los puntos de suministro conectados a sus redes y a las redes de transporte de su zona a través de un soporte físico informático que permita su inmediata y efectiva disposición y tratamiento, sin que resulte exigible, en ningún caso, que los comercializadores o la Comisión Nacional de los Mercados y la Competencia les proporcionen dato alguno como condición previa de acceso a su base de datos. La empresa distribuidora deberá remitir dicha información en el plazo máximo de 15 días desde la fecha de solicitud por parte de la Comisión Nacional de los Mercados y la Competencia o del comercializador. 3. Tanto la Comisión Nacional de los Mercados y la Competencia como los comercializadores que hayan presentado la comunicación de inicio de actividad y declaración responsable, figuren en el listado publicado por la Comisión Nacional de los Mercados y la Competencia y cumplan en todo momento con los requisitos exigidos para ejercer la actividad, podrán acceder gratuitamente a las bases de datos de puntos de suministro de cada empresa distribuidora. El acuerdo de inicio del procedimiento de extinción de la habilitación para ejercer como comercializadora de energía eléctrica así como la apertura de diligencias penales relacionadas con la actividad de comercialización, suspenderá el derecho al acceso a las bases de datos de puntos de suministro de las empresas distribuidoras, sin perjuicio de la información necesaria para llevar a cabo el traspaso de clientes a la comercializadora de referencia de acuerdo con el procedimiento legalmente establecido. Los comercializadores, y demás sujetos que hagan uso de la información que figura en las bases de datos de puntos de suministro de las empresas distribuidoras, a tenor de lo contemplado en la presente disposición y en el artículo 46.1.
3. k)de la Ley 24/2013, de 26 de diciembre, del Sector Eléctrico, deberán suscribir un código de conducta y garantizar la confidencialidad de la información contenida en las mismas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 4. No obstante lo dispuesto en el apartado 3, aquellos a quienes se refiera la información citada en los apartados anteriores, tendrán derecho de acceso a sus datos contenidos en el registro de puntos de suministro de forma gratuita y, además, podrán prohibir por escrito a los distribuidores la difusión de los datos que señalen expresamente y el acceso por los comercializadores distintos a aquel con el que se tenga contratado el suministro. En este caso la manifestación escrita del consumidor deberá constar expresamente en la base de datos, correspondiendo al distribuidor custodiar una copia de dicha solicitud. No obstante, lo anterior, en el caso de que el consumidor esté en situación de impago no podrá prohibir la difusión de su Código Universal del Punto de Suministro y de la información de dicha situación. 5. Los datos a que hace referencia el apartado 1 de este artículo deberán constar en las Bases de Datos referidas a los puntos de suministro conectados tanto a baja como alta tensión. 6. Se habilita al Ministro de Industria, Energía y Turismo para dictar cuantas disposiciones sean necesarias para modificar los datos de carácter técnico a que hace referencia el apartado 1 de este artículo” (el subrayado corresponde a la AEPD). De esta forma, ni las empresas comercializadoras ni la CNMC pueden acceder a partir de la modificación a cualquier información que identifique al titular del punto de suministro, y en particular a los datos recogidos
4. c)
5. z)y
6. aa)del apartado 1: “
7. c)Ubicación del punto de suministro, que incluye dirección completa (tipo de vía, nombre de la vía, número, piso y puerta). Esta información debe referirse en todo momento al punto de suministro y no a la ubicación, población y provincia del titular de dicho punto de suministro que se exige en la letra
8. aa)de este mismo artículo.
9. z)Nombre y apellidos, o en su caso denominación social y forma societaria, del titular del punto de suministro.
10. aa)Dirección completa del titular del punto de suministro. Esta información debe referirse en todo momento al titular del punto de suministro y no a la ubicación, población y provincia de dicho punto de suministro que se exige en la letra
11. c)de este mismo artículo” Esta información continua en poder de las empresas distribuidoras, que ya no pondrán a disposición de las comercializadoras o de la CNMC desde ese momento. Por tanto, con la nueva regulación no se podía acceder a cualquier información que directamente identificara al titular del punto de suministro y, sin embargo, EDP accedió al SIPS obteniendo los datos del denunciante, cuando la modificación operada en la norma establecía dicha prohibición, remitiendo al domicilio del denunciante comunicaciones comerciales. Prohibición que además era conocida por EDP pues la citada compañía ya fue sancionada por estos mismos hechos en el procedimiento sancionador PS/00298/2017. Como ya se señalaba en la resolución recurrida EDP pretende dar categoría de fuente accesible al público al SIPS lo que legitimaria el tratamiento llevado a cabo. Frente a ello debe indicarse que es un criterio jurisprudencial reiteradísimo, que únicamente se consideran fuentes de accesibles al público las previstas en el artículo 3 de la LOPD, siendo estas numerus clausus. No existen las fuentes accesibles al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 público sectorial creada ex lege, y menos aún debe considerarse como tal el SIPS; este fichero tiene otra finalidad perfectamente definida en el artículo 7 del Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión. El artículo 7 del Real Decreto 1435/2002, modificado por el Real Decreto 1074/2015, de 27 de noviembre, prohíbe acceder a los datos que identifiquen al titular del punto de suministro y su consecuencia es la prohibición de someter a tratamiento los datos del denunciante por lo que, si dicha prohibición ha sido vulnerada, nos encontramos ante un tratamiento sin consentimiento y por tanto la infracción del artículo 6.1 de la LOPD. En el presente caso, EDP llevo a cabo acciones comerciales utilizando los datos de carácter personal del reclamante incumpliendo las obligaciones establecidas y lo relevante, al someter a tratamiento los citados datos sin consentimiento, es la infracción del artículo 6.1 de la LOPD, con independencia de que los datos del reclamante a efectos postales estuvieran dados de alta en la lista de Adigital. IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por EDP España, S.A.U., con NIF A33473752, contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 30 de enero de 2019, en el procedimiento sancionador PS/00327/2018. SEGUNDO: NOTIFICAR la presente resolución a la entidad EDP España, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
12. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
13. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es