1/6 Procedimiento nº.: PS/00363/2018 Recurso de reposición Nº RR/00315/2019 Examinado el recurso de reposición interpuesto por EDP ENERGIA, S.A.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00363/2018, y en base a los siguientes HECHOS PRIMERO: Con fecha 21 de marzo de 2019, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00363/2018, en virtud de la cual por una infracción del artículo 6.1 de la LOPD, tipificada como Grave en el artículo 44.3
- b)de la LOPD, se imponía una multa de cuarenta mil y un euros (40.001 €), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD Dicha resolución, que fue notificada al recurrente en fecha 25 de marzo de 2019, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00363/2018, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS El 27/12/2017, un comercial de EDP ENERGIA, S.A.U., formalizó un contrato a nombre de la reclamante sin su consentimiento, facilitando para ello un hijo de la reclamante los datos personales de la reclamante, entre los que se encuentra su número de cuenta bancaria. En dicho contrato consta como titular de éste la reclamante, indicándose su nombre y apellidos, NIF, dirección, número de cuenta y teléfono de contacto. Además, en dicho documento constan los datos de A.A.A., hijo de la reclamante, en calidad de representante de la reclamante. EDP ENERGIA, S.A.U. aporta además del contrato, copia del NIF del hijo. Sin embargo, no se aporta ningún documento que acredite que el hijo tenía autorización de la reclamante para actuar en su nombre y formalizar el contrato de suministro con EDP ENERGIA, S.A.U. TERCERO: EDP ENERGIA, S.A.U. (en lo sucesivo el recurrente) ha presentado en fecha 22 de abril de 2019, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 En la resolución dictada por la AEPD no se motiva la obligación de recabar el consentimiento de la denunciante. Considera que los hechos denunciados no son un supuesto de fraude, ya que la contratación fue realizada por el hijo de la denunciante, y que determinar la existencia o no de fraude en la contratación es una competencia que se encuentra reservada a los órganos judiciales del orden civil y no administrativo. Concluye afirmando que el tratamiento de datos de la denunciante está amparado en una de las excepciones a la solicitud del consentimiento exigido y establecidas en el apartado 2 del artículo 6 de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles al recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto a la pretensión del interesado. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. III En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II << El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” El apartado 2 del mismo artículo añade que “ no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado “. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…).” Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el supuesto que nos ocupa, el tratamiento de datos realizado por la entidad denunciada no puede acreditarse que haya sido llevado a cabo empleando una diligencia razonable, ya que el 27/12/2017, un comercial de EDP ENERGIA, S.A.U., formalizó un contrato a nombre de la reclamante sin su consentimiento, facilitando para ello un hijo de la reclamante los datos personales de la reclamante, entre los que se encuentra su número de cuenta bancaria. En dicho contrato consta como titular de éste la reclamante, indicándose su nombre y apellidos, NIF, dirección, número de cuenta y teléfono de contacto. Además, en dicho documento constan los datos de A.A.A., hijo de la reclamante, en calidad de representante de la reclamante. EDP ENERGIA, S.A.U. aporta además del contrato, copia del NIF del hijo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 Sin embargo, no se aporta ningún documento que acredite que el hijo tenía autorización de la reclamante para actuar en su nombre y formalizar el contrato de suministro con EDP ENERGIA, S.A.U. IV En relación a una posible contratación fraudulenta, imputable a EDP ENERGIA, S.A.U., los hechos expuestos podrían ser constitutivos de una infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “ El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.”, infracción tipificada como GRAVE en el artículo 44.3.
- b)de dicha norma, que considera como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. V La entidad denunciada en escrito de alegaciones de fecha 20 de diciembre de 2018 manifiesta que la sanción propuesta fundamentada en la infracción del artículo 6.1 y 6.2 de la LOPD no es tal, ya que la ejecución de un contrato en el que el interesado sea parte conforma uno de los supuestos en los que el tratamiento de los datos personales del interesado (o contratante) es lícito y legítimo, no siendo necesario en ese caso el consentimiento del afectado. En su escrito de alegaciones continúa diciendo que como consta en el contrato aportado en la contestación presentada por EDP ENERGIA, S.A.U. al Requerimiento de Información (E/03439/2018), los datos de la Denunciante fueron aportados por D. A.A.A. en el momento de la celebración del contrato, tras manifestar que actuaba en su nombre, y además declara por escrito en la Orden de Domiciliación de Adeudo Directo SEPA que ostenta la condición de titular, cotitular o autorizado en relación con la cuenta bancaria cuyo número se consigna, y quien además facilitó su DNI para que fuese fotografiado superpuesto tanto sobre el contrato firmado como sobre la Orden de Orden de Domiciliación de Adeudo Directo SEPA, por lo que es difícilmente sostenible que, tal como insinúa la Denunciante en su escrito, los datos pudiesen haber sido obtenidos por EDP ENERGIA, S.A.U. de forma ilícita. Por lo tanto, alega que el tratamiento de los datos personales que EDP ENERGIA, S.A.U. ha realizado en el momento de la contratación sobre los datos de Dña. B.B.B. se ajusta escrupulosamente a lo dispuesto en la normativa vigente, puesto que no es necesario su consentimiento por ser parte en el contrato que se estaba celebrando y los datos son obtenidos de forma legítima de quien actúa en su representación. (este último aspecto será abordado a continuación). En este sentido, se manifiesta que en el formulario de contratación, don A.A.A. firma expresamente como representante y suscribe que “en calidad de ascendiente/descendiente declara disponer de facultades suficientes para suscribir el presente contrato en nombre del cliente a quien se responsabiliza de informar de todas las condiciones del mismo”. Por tanto, aun suponiendo que D. A.A.A. no contase con mandato, ni poder para actuar en nombre de la Denunciante, en el caso que nos ocupa no podríamos sino concluir que la Denunciante ha ratificado la contratación con EDP ENERGIA, S.A.U. – y por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 consiguiente el tratamiento de sus datos personales - al haber aceptado y abonado las cinco facturas emitidas por EDP ENERGIA, S.A.U. por el suministro de electricidad desde el momento en que se produce la contratación. VI Una vez analizadas las pruebas documentales aportadas, cabe concluir que EDP ENERGIA, S.A.U., no ha acreditado haber actuado diligentemente en la contratación de los servicios objeto de este caso, ya que ha contratado con una persona, supuestamente representado por su hijo, sin solicitar acreditación de dicha representación.>> IV En respuesta a las alegaciones presentadas por la entidad recurrente, ha de señalarse que en el fundamento II de la resolución impugnada se indican los preceptos de la propia normativa de protección de datos que se han vulnerado, así como la jurisprudencia correlativa, y en el fundamento V se motiva el sentido de la resolución, señalando la obligación de recabar consentimiento de la denunciante, en este caso, como titular de un contrato de servicios suministrados por la entidad denunciada. Concretamente el artículo 6 de la LOPD, señala que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” En el presente caso no se ha acreditado que la entidad recurrente haya contado con el consentimiento “inequívoco” de la afectada para el tratamiento de sus datos personales, y pese a ello, dicha entidad ha hecho uso de estos datos personales para proceder a la contratación de sus servicios, lo cual contraviene dicho precepto, ya que como se ha dicho no se ha acreditado que para dicha contratación, se obtuviesen y tratasen los datos personales de la denunciante con su consentimiento expreso e inequívoco. Por otro lado, pese a las manifestaciones de la entidad recurrente, señalar que no ha aportado ningún documento que acredite que su actuación se encontraba amparada por una de las excepciones establecidas en el apartado 2 del artículo 6 de la LOPD. Finalmente, señalar que los datos objeto de este supuesto, son datos de carácter personal, de conformidad con el artículo 3
- a)de la LOPD y por tanto se encuentra dentro del ámbito de aplicación de la normativa de protección de datos y por ende competencia de la AEPD, según los artículos 1 y 2 de dicha LOPD. V En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 PRIMERO: DESESTIMAR el recurso de reposición interpuesto por EDP ENERGIA, S.A.U. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 21 de marzo de 2019, en el procedimiento sancionador PS/00363/2018. SEGUNDO: NOTIFICAR la presente resolución a la entidad EDP ENERGIA, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es