REPOSICION-PS-00369-2013

1/9 Procedimiento nº.: PS/00369/2013 ASUNTO: Recurso de Reposición Nº RR/00004/2014 Examinado el recurso de reposición interpuesto por la entidad ENDESA ENERGIA, S.A.. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00369/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 25 de noviembre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00369/2013 , en virtud de la cual se imponía a la entidad ENDESA ENERGIA, S.A.., una sanción de 15.000 €, por la vulneración de lo dispuesto en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como GRAVE en el artículo 44.3 b), de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 27/11/2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00369/2013, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS UNO.- En fecha de 26/09/2008, ENDESA y PDM DIGITAL y SCHOBER PDM, firmaron un contrato de prestación de servicios en virtud del cual SCHOBER de acuerdo con las instrucciones de ENDESA, extrae datos de un fichero previamente elaborado por PDM. (Folio 109) DOS.- De acuerdo con el citado contrato, los registros generados por PDM tendrían una validez de 3 meses, y PDM cada 15 días remitiría a ENDESA un fichero actualizado con las personas que hubieran ejercido la oposición.(Folio 109) TRES.- ENDESA se comprometía a utilizar los datos entregados por SCHOBER durante el tiempo de vigencia de la campaña. (Folio 110). Los datos personales de la denunciante fueron proporcionados en ejecución de la Campaña *********** cuya entrega del fichero se produjo el 28/02/2012 y cuya fecha prevista para el inicio de la campaña era 01/03/2012. (Folio 113) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 CUATRO.- En fecha de 24/03/2012 SCHOBER comunica a ENDESA la exclusión de los datos de la denunciante en el fichero a utilizar por los distribuidores de ésta TELEMARK y DIGITEX. (Folios 256 a 260) CINCO.- En fecha de 19/07/2012 la denunciante recibe llamadas de las entidades DIGITEX y TELEMARK que actúan por cuenta de ENDESA en ejecución de campaña publicitaria. SEIS.- La denunciante consta inscrita en el Servicio de Lista Robinson desde el 22/02/2012. TERCERO: ENDESA ENERGIA, S.A.. ha presentado en fecha 26/12/2013 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en : Vulneración del principio de tipicidad. Es cita el art. 44.3

1. d)LOPD y trata de la vulneración del deber de secreto. Vulneración del principio de antijurícidad y culpabilidad. No se acredito que SHCOBER/PDM notificara la procedencia de eliminar los datos de la denunciante. ENDESA no era conocedora de tal circunstancia. No es requisito legal ni contractual que el “procedimiento de gestión de robinsones” deba firmarse por las partes para su obligatoriedad. El tratamiento de los datos de la denunciante no supera los 3 meses, ya que la campaña tenia fecha prevista para el 1/03/2012 pero finalmente se inició en abril de 2012, y la llamada se produjo en julio. Tratándose de tal previsión de una cuestión civil o mercantil, pero en cualquier caso ajena a la LOPD. Vulneración del principio de presunción de inocencia. Aplicación del art. 45.5 LOPD y falta de motivación de la cuantificación de la sanción impuesta. La Agencia sin argumentar la resolución sanciona con importe superior al señalado en la propuesta de resolución. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 En relación con las manifestaciones efectuadas por ENDESA ENERGIA, S.A.., relativa a la falta de tipicidad, por señalar el art. 44.3
2. d)de la LOPD en la resolución recurrida, conviene señalar que tanto en el Acuerdo de Inicio, como en la Propuesta de Resolución, se tipifica la conducta imputada en el art. 44.3
3. b)LOPD, siendo plenamente conocedora la recurrente. En el caso de la Resolución recurrida, la razón por la que se hace constar el apartado
4. d)en lugar del apartado b), es un mero error de transcripción, o dicho de otro modo, una irregularidad formal no invalidante, pues se deduce claramente de la documentación obrante en el expediente y respecto a dicho precepto ha construido sus alegaciones la recurrente, que se imputa la infracción del art. 6 LOPD tipificada en el art. 44.3
5. b)de la misma norma. A mayor abundamiento, en la propia resolución recurrida consta en el Fundamento de Derecho VII: (…)Dispone el artículo 44.3.
6. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas.(…) Lo que despeja de cualquier duda el debate que pretende establecer la recurrente respecto al error en la tipificación. Por tanto las alegaciones formuladas a este respecto han de ser desestimadas sin que haya acreditado ni razonado ENDESA ENERGIA, S.A.. en qué medida tal irregularidad formal hace decaer su derecho. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 III En relación con las manifestaciones efectuadas por ENDESA ENERGIA, S.A.., relativas a la ausencia de antijurícidad y culpabilidad por no ser conocedora de la exclusión de los datos de la denunciante, la inexistencia de obligatoriedad en la firma del procedimiento de gestión de robinsones y el tratamiento de los datos de la denunciante más allá de los tres meses desde el inicio de la campaña publicitaria, cabe señalar que se han aportado indicios probatorios de los que se deduce claramente el conocimiento de aquella de tal circunstancia. Por otro lado respecto de la inexistencia de firma del documento analizado y del tratamiento de los datos sobrepasando el limite contractualmente fijado, hay que señalar que el carácter civil o mercantil de tal obligación y la existencia o no de firma del documento citado, no obsta a que la Agencia Española de Protección de Datos, en virtud del principio de libre valoración de la prueba y el juego de responsabilidades entre el Responsable del tratamiento y el encargado del tratamiento de acuerdo con el art. 12.4 y 43 LOPD, entre a analizar tales extremos y resuelva en el sentido de la Resolución recurrida. A este respecto baste citar la Sentencia de la Audiencia Nacional respecto de que, efectivamente, esta Agencia, sin sobrepasar sus limitadas competencias en el ámbito de la protección de datos, sí puede ponderar las circunstancias que rodean al supuesto concreto en orden a determinar, únicamente, si se ha producido una vulneración de la normativa sectorial de la protección de datos. Así, y respecto de un caso en el que se valoran cuestiones conexas de otras ramas del derecho, nos recuerda la SAN de 25/10/2007: “En relación con esta falta de competencia de la Agencia para sancionar y realizar las actuaciones y valoraciones precisas orientadas a tal finalidad, debemos señalar que dicho alegato, como motivo de nulidad carece de sustento legal pues la LOPD configura a la AGPD como un ente de derecho público con personalidad jurídica propia y plena capacidad pública y privada, que actúa con plena independencia de las AAPP en el ejercicio de sus funciones. Se regirá por lo dispuesto en la citada ley, y que cuenta entre sus funciones, ex artículo 37 LOPD, en lo que ahora interesa, la de “ejercer la potestad sancionadora en los términos previstos por el Título VII de la presente Ley”, de manera que tiene competencia para la represión de conductas que afectan al limitado ámbito sectorial de la protección de los datos personales, velando por la salvaguarda, en el ámbito del derecho administrativo sancionador, del derecho fundamental previsto en el artículo 18.4 de la CE. Cuestión distinta, que mezcla la recurrente con este alegato, es si la conducta de la recurrente configura el ilícito administrativo aplicado y, por tanto, es merecedora o no de sanción, lo que se encuentra relacionado con el resto de las cuestiones suscitadas. Por otro lado, el juego de responsabilidades entre el responsable del tratamiento y el encargado ya fue analizado pormenorizadamente en el Fundamento de Derecho IV y V tal como se trascribe a continuación: IV ENDESA alega en su descargo que SCHOBER no excluyo el registro de los datos de la denunciante en el fichero que debía haber depurado previamente y que por tanto no tiene culpabilidad en el tratamiento de datos realizado, basándose en las obligaciones recogidas en el contrato y en los anexos que ha aportado. Sin embargo es preciso analizar varios elementos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 En primer lugar, no consta en el contrato obligación alguna respecto de la exclusión de los registros en el servicio de Lista Robinson de AIDIGITAL (FECEMD). Tan solo consta que “cada 15 días PDM remitirá por correo electrónico a Endesa, los datos de las personas que han ejercido el derecho de oposición. Siendo responsable Endesa, de eliminar del fichero de su titularidad, los registros remitidos por PDM”. Manifiesta ENDESA en sus alegaciones a la Propuesta de Resolución que no era necesaria tal previsión en el contrato, pues de acuerdo con una Resolución de la Agencia que señala la entrada de la vigencia de la obligación de consulta en Lista Robinson de FECEMD, deberían haber realizado tal consulta. Llegados a este punto es preciso aclarar a la representación de ENDESA, que el análisis que se realiza en la Propuesta de Resolución a ese respecto tiene razón de ser en las alegaciones iniciales de ésta, cuando pretende excluir su responsabilidad en detrimento de sus encargados de tratamiento basándose en un incumplimiento de sus mandatos. Es por eso por lo que se hace dicho análisis en la citada Propuesta. Asimismo es preciso destacar que ENDESA aporta junto con su escrito de alegaciones una documento denominado “Procedimiento gestión Robinsones” obrante en los folios 239 a 241, respecto del cual guardo silencio en los requerimientos y manifestaciones que realizo durante tramite de las Actuaciones Previas de Inspección E/5304/2012, circunstancia que, junto la ausencia de firma por parte de SCHOBER de la que se deduciría su sometimiento, las propias manifestaciones de SCHOBER a requerimiento de este órgano instructor, obrantes en el folio 255 y 256 que señalan la ausencia de instrucciones distintas a las que ya obran en el contrato y por tanto cualquier otro documento donde se recojan otras obligaciones, hacen cuestionar la autenticidad e integridad de dicho documento. Señalando ENDESA en sus alegaciones formuladas a la Propuesta de Resolución que no aportó dicho documento por qué entendió que no se le requirió, argumento que debe rechazarse por simplista, ya que se le solicitó la (…) descripción detallada del procedimiento y normas realizadas por Endesa (…) y en cambio tal documentación es aportada al procedimiento sancionador sin petición expresa, motu proprio, cuando sin arduos ejercicios intelectuales se deduce claramente que si el documento se denomina “Procedimiento gestión Robinsones” puede satisfacer la petición que se realiza desde los Servicios de Inspección de la Agencia, con la simple compresión de su literalidad. Por tanto, el análisis ha de centrarse en el documento que sustenta la orden de ejecución de la campaña *********** obrante en el folio 113 y que es el único documento, al margen del contrato, que ambas partes reconocen. En segundo lugar, admitiendo a efectos puramente dialecticos la validez y obligatoriedad para las partes de dicho “Procedimiento gestión Robinsones”, de lo que no hay duda es que el contrato es claro cuando establece como plazo máximo para la utilización de los registros facilitados por PDM el plazo de 3 meses, y teniendo en cuenta que en la orden de campaña obrante en el folio113 donde se recoge que la fecha prevista para la campaña es 01/03/2012 y las llamadas se realizan en fecha de 19/07/2012, ENDESA no justifica la razón por la que agotado dicho plazo continúan tratándose por su cuenta los datos de la denunciante, circunstancia respecto de la que guarda silencio en las alegaciones formuladas a la Propuesta de Resolución. Es de destacar que SCHOBER aporta documentación de la que se deduce que en fecha de 24/03/2012 se ha comunicado a ENDESA la necesidad de que se excluya la denunciante de sus comunicaciones (Folios 258 a 259). Respecto de esta documentación ENDESA manifiesta que en palabras de aquella, “es una simulación”, sin embargo, debe recordarse que aun admitiendo tal cualidad de la comunicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 analizada, no legitima a ENDESA para que continúe tratando los datos de la denunciante pasado el plazo de 3 meses desde que se inicio la campaña. Es decir, existen dos estadios o imputaciones en la conducta de ENDESA, independientes entre sí, de un lado, la discutida comunicación de los encargados a ENDESA respecto de la constancia en Lista Robinson de AIDIGITAL de los datos de la denunciante, y otro, que es independiente y que per se vulnera el contrato, que sucede cuando se acredita un tratamiento de los datos de la denunciante, mas allá del plazo que consta en el contrato, y en la orden de campaña. Y es este punto donde ENDESA vulnera el art. 6 de la LOPD, pues debe conocer que por mucho que las entidades con las que contrate la elaboración y depuración del fichero (SCHOBER y PDM) estén asociadas al Servicio de Lista Robinson de AIDIGITAL (FECEMD), la validez de los registros allí contenidos y por tanto el periodo de actualización es de 3 meses. Por lo que pasado dicho plazo, el tratamiento de un fichero con fines de prospección comercial no puede tener como parámetro la consulta o cruce con aquel. V De acuerdo con el art. 46 del RDLOPD, ENDESA es responsable del tratamiento de los datos de la denunciante. Llegados a este punto es preciso analizar la responsabilidad de sus encargado de tratamiento. Conforme al artículo 12.4 de la LOPD: 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. En el caso analizado, no consta que SCHOBER ni PDM hayan incumplido algún mandato del responsable del tratamiento, es decir, de ENDESA, ya que el sometimiento a los mandatos del documento “Procedimiento de Gestión de Robinsones” por parte de SCHOBER, es más que cuestionable por las razones antes apuntadas. La ausencia de elementos de los que se derive dicho sometimiento, no es cuestión baladí, y ya ha sido analizado por esta Agencia. En concreto, procede traer a colación la Resolución nº R/1383/2009. Resolución que ENDESA no entiende de aplicación al caso concreto pues no se exige contractualmente la firma del procedimiento concreto. Sin embargo es preciso aclarar a la representación de ENDESA que la razón por la que se cita la misma, obedece a que en sus alegación formuladas al acuerdo de inicio pretende derivar responsabilidades en sus encargados de tratamiento, y para analizar tal cuestión es preciso analizar pormenorizadamente los supuestos facticos y formales de los que se puede deducir, la exclusión de responsabilidad de uno, a favor de la asunción de responsabilidad de otro. No obstante lo anterior debe señalarse que el art. 12.4 LOPD donde el término “también” deja claro que no se establece un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, no puede atribuírsele incumplimiento a SCHOBER y menos aun exonerar de toda responsabilidad a ENDESA. Pues el responsable del fichero no pierde su condición de tal, ni que da exonerado de responsabilidad por el hecho de que su encargado del tratamiento, pueda haber incumplido estipulado, circunstancia no probada en el caso analizado. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 En cuanto a la aplicación del art. 45.5 de la LOPD solicitado en el recurso planteado, hay que señalar que han sido valoradas las circunstancias concurrentes del caso, y se ha accedido a su aplicación. Ahora bien, cuestión distinta es que el recurrente esté en desacuerdo con el importe de la sanción. El análisis de las circunstancias se recoge en el Fundamento de Derecho VIII tal como se transcribe a continuación: <<VIII El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso se han acreditado circunstancias que permiten la aplicación del citado precepto, concretamente previstas en el apartado i): ENDESA firma un contrato relativo al tratamiento de datos con entidades profesionales del sector adscritas al Servicio de Lista Robinson de AIDIGITAL (Folio 254) que con independencia de los hechos acaecidos muestra una diligencia, al menos de carácter formal, en el encargo de tratamiento de los destinatarios de sus campañas publicitarias. Asimismo no constan beneficios obtenidos ni perjuicios graves causados al denunciante. Por todo ello, procede imponer, la infracción cometida, una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45. Ahora bien debe tenerse en cuenta que ENDESA no sólo se aparta de las indicaciones contractuales y utiliza el fichero excediéndose del periodo pactado, sino que de su actividad en continuo tratamiento de datos personales debería ser conocedora de que los registros de las Lista Robinson tienen una validez de tres meses, y dejar de prestar atención a ese mandato conlleva que los datos personales de una persona inscrita en dicho servicio de exclusión puedan ser tratados para fines de prospección comercial. Por lo que se aprecia una falta de diligencia que ha de ser valorada a la hora de la imposición de la sanción. ENDESA no ha explicado la razón por la cual continúa tratando datos más allá de los 3 meses desde su puesta a disposición, lo que reduce a mero formalismo la existencia de los ficheros comunes de exclusión para envíos publicitarios y cualquier previsión a este respecto reflejada tanto en el contrato como en la orden de campaña. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD, se propone una sanciona en la cuantía de quince mil euros.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Finalmente alega la recurrente que se ha variado el importe de la sanción, respecto del señalado en la Propuesta de Resolución de fecha 10/10/2013. Pues bien, en palabras de la Sentencia de 17/09/199 del Tribunal Supremo ( RJ 1999,7348) “ según reiterado criterio jurisprudencial de esta Sala ( SSTS 25 de febrero de 1981, 7 abril 1982 y 15 diciembre de 1987), no existe la vinculación del órgano administrativo decisor a la propuesta del instructor en los términos en que sostiene la actora, sino que los limites que debe respetar la resolución final del expediente son los hechos y la homogeneidad de la calificación de la infracción efectuada sobre la que se ha tenido oportunidad de defesa, pudiendo, por el contrario, adecuar la cuantía de la sanción dentro de los márgenes que permite la norma”. En el mismo sentido la Sentencia del Tribunal Constitucional de 20/05/2002 ( STC 117/2002 RTC 2002,117) dictada en recurso de amparo, considero que no había existido vulneración del derecho a ser informado de la acusación por haber elevado el órgano sancionador la cuantía de la multa inicialmente propuesta ya que “la diferencia en el quantum sancionador no fue el resultado de una distinto calificación jurídica del hecho sino de la aplicación de los criterios de individualización de la sanción recogidos en el art. 33.1 de la Ley de Carreteras, criterios que en el procedimiento administrativo corresponde concretar al órgano decisorio”. En el presente caso se ha sancionado la vulneración del art. 6 de la LOPD en relación con el art. 49 del RDLOPD en un importe similar al fijado en otros casos semejantes, cabe citar a modo de ejemplo la Resolución R/1056/2013 recaída en el PS/619/2012 con una cuantía de 15.000 € o la Resolución R/0628/2013 recaída en el PS/682/2012 con una cuantía de 20.000 €, dando cumplimiento a los principios de seguridad jurídica y confianza legitima y despejando cualquier duda respecto del criterio de esta Agencia. V Por lo tanto, en el presente recurso de reposición, ENDESA ENERGIA, S.A.. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ENDESA ENERGIA, S.A.. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 25 de noviembre de 2013, en el procedimiento sancionador PS/00369/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad ENDESA ENERGIA, S.A... De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es