1/17 Procedimiento nº PS/00434/2014 ASUNTO: Recurso de Reposición Nº RR/00167/2015 Examinado el recurso de reposición interpuesto por la entidad Iberdrola Clientes SAU contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00434/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 8 de enero de 2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00434/2014, en la que se acuerda Imponer a la entidad a Iberdrola Clientes SAU (antes Iberdrola Generación SAU): 1. Por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
(2)y gas (tres) el 14 de agosto, pero un mes más tarde le reclama el pago de la factura que ha emitido a primeros de agosto. A mitad de diciembre le comunican la finalización del suministro de gas para final de ese mismo mes y el 30/12/13 emite dos facturas de gas: una por 202,34 € y otra por -202,34 €, que -después de reclamarle el pago- anula veinte días más tarde. De electricidad emite otra a primeros de enero siguiente. Por motivos no aclarados el 4 de abril de 2014 emite cuatro facturas más por el periodo que va de junio 2013 a enero 2014. No se ha acreditado la cancelación de los datos en Asnef, la baja de los contratos, la cancelación de la deuda y de los datos personales del denunciante en sus bases de datos. III. La LOPD establece: “Artículo 6. Consentimiento del afectado “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El principio del consentimiento del afectado para la recogida o tratamiento de los datos personales del mismo es uno de los pilares de la protección de datos en el vigente ordenamiento jurídico español, imprescindible para preservar el derecho fundamental constitucionalmente protegido de la intimidad de las personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 Se le hace responsable a la entidad imputada en el presente procedimiento de una infracción del artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Carece del consentimiento inequívoco de la afectada el tratamiento efectuado por ENR WATIO SL e Ibergen, que tratan los datos de la persona denunciante para cumplimentar formularios, la primera, e iniciar los cambios de compañías comercializadoras, incorporarlos a su fichero de clientes y emitir facturas, la segunda, sin tener base documental en que basar su contratación y su consentimiento para tratar sus datos. Respecto a ENR Watio SL debe señalarse que, teniendo en cuenta que el tratamiento indebido de datos se circunscribió al 12/05/2014, en el momento de la entrada de la denuncia el 12/05/2014 los hechos se encontraban prescritos. La imputada no ha acreditado motivos, razón o circunstancia que justificara ese tratamiento de datos sin consentimiento de la persona afectada. La tercera persona que les proporciona los datos y firma los formularios carece de representación de la titular de los datos para actuar en su nombre. El hecho de que esa persona aporte dos facturas no implica tener representación de la titular o el consentimiento de ella. IV. Según ha quedado acreditado durante la fase previa de investigación y durante la instrucción del procedimiento, Ibergen asoció los datos personales de la persona denunciante a una deuda que no debió producirse en los términos que se reclamaba, e instó el alta de los datos de aquélla en fichero de solvencia patrimonial y crédito, sin C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 haber notificado el requerimiento previo. Procede, por tanto, imputar Ibergen por la inclusión en Asnef y por la emisión de facturas y reclamaciones de deuda, una infracción del artículo 4.3 en relación con el 29.4 de la LOPD. El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Asimismo, el Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
- b)(…)
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (...) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda anotada realmente existe. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. Además, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999, implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
- a)del R.D. 1720/2007) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud. En consecuencia, la persona denunciante fue tratada como deudora de un importe por facturas impagadas e incluida en Asnef sin requerimiento previo. V El artículo 44.3.
- b)y
- c)de la LOPD, de 4 de marzo, considera infracción grave: “
- b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
- c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” El cumplimiento de las exigencias previstas viene determinado por la importancia de la inclusión y mantenimiento de los datos personales en dichos ficheros, cuestión que ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional, entre otras, en la Sentencia dictada el 16/02/2002, la Sala de lo Contencioso Administrativo, Sección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto, señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan,...”. Los dos principios cuya vulneración se imputan, el del consentimiento y el de calidad de los datos, se configuran como principios básicos en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. En este caso, ha incurrido Ibergen en las infracciones descritas ya que han vulnerado ambos principios, consagrados en los artículos 4.3 y 6.1 de la LOPD, cuando mantuvieron datos incorrectos de la persona denunciante en sus ficheros, cuando informaron, para su registro en Asnef, los datos de la misma asociados a una deuda y por tratar los datos de la afectada sin su consentimiento, que encuentran su tipificación en el artículo 44.3.
- b)y
- c)de la citada Ley Orgánica. VI. El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. Dado que los hechos objeto de este procedimiento han sido tipificados como infracción grave, la sanción que procede imponer a debe ser de un importe comprendido entre 40.001 y 300.000 euros. VII. El artículo 45.5 de la LOPD, establece que “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. --- Ibercli (antes Iberdrola Generación SAU –Ibergen-), en su escrito de alegaciones al acuerdo de inicio, solicitaba archivo de actuaciones. En sus alegaciones a la propuesta invoca la aplicación del 45.5, por tratarse de una culpabilidad muy limitada la que concurre en los hechos y haber cumplido escrupulosamente los requisitos que exige la LOPD y su Reglamento de desarrollo para la inclusión de los datos en Asnef. --- Sin embargo, la falta de diligencia para realizar un mínimo control o comprobación de las causas o motivos por las que es devuelto impagado el cargo de facturas –partiendo del hecho de no tener documentada ni la identidad ni la voluntad de contratar del titular de los datos- o porqué las notificaciones de los requerimientos son devueltas con anotaciones de ausente o desconocido, impide considerar como atenuante cualificada la falta de culpabilidad. Pudo evitarse la inclusión en Asnef y la imputada libremente eligió ejecutarla. --- Ha de analizarse la reacción de la imputada antes las reclamaciones del denunciante. + La vivienda del punto de suministro no es la vivienda / domicilio del denunciante, la tiene alquilada; la domiciliación del pago de facturas está en una cuenta bancaria de la inquilina; ésta abandona la vivienda y se produce el impago de las facturas que emite en marzo 2013; Ibergen reclama el pago por medio de empresa de recobros que envía escritos por correo ordinario; después por escritos certificados con aviso de recibo intenta la notificación de los requerimientos previos a la inclusión en Asnef. La inclusión en Asnef se produce el 22/04/13. Asnef envía escrito, fechado el día siguiente, la notificación de inclusión. + Cuando el denunciante acude a la vivienda alquilada vacía se encuentra esa notificación y las reclamaciones de la empresa de recobros, acude a una oficina de la compañía que le informan le dan copia del contrato de su inquilina y de las facturas que debe pagar para sacarle de Asnef. + Ingresa el 08/07/13, en la cuenta bancaria que le indican, las cantidades que le reclaman. Ese mismo día remite los justificantes de pago por fax a Collecta –la empresa de recobros- para que le saquen de Asnef. Presenta la denuncia en la Guardia Civil de Griñón, su localidad de residencia, que junto con los justificantes de ingresos, los remite a Ibergen para que le devuelvan los importes pagados, que esta recibe el 30/07/13. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 + Ibergen afirma –pero no acredita- haber dado de baja la inclusión en Asnef el 10/07/13, tres días después del pago. Pero inmediatamente después sigue con la gestión de recobro, emite nueva factura de luz el 08/08/13, siete días más tarde emite facturas rectificativas de luz y gas que anulan las emitidas antes de agosto. El 13/09 le reclama el pago de la factura de 08/08 devuelta impagada por el banco donde la inquilina tenía la domiciliación. El 23/09 emite nueva factura de importe cero y otra más el 04/12. A Mitad de diciembre le comunica el cese de actividad pero sigue emitiendo facturas, sin consumo el 30/12, y el mismo día por los mismos conceptos con importe negativo. El 09/01/13 emite otra factura de luz y el 11/01 reclama el pago de la del 30/12, devuelta impagada y que anula por nueva factura el 21/01. El 04/04/13 emite cuatro nuevas facturas de gas correspondiente a los últimos siete meses de 2013. Hemos de llegar a la conclusión que la reacción de la imputada -a partir de las reclamaciones del denunciante y especialmente del pago de tres facturas, la denuncia en la Guardia Civil y la petición de devolución del importe de esas facturas por contratación sin su consentimiento- no es diligente para la regularización de la situación irregular provocada por el tratamiento inconsentido de los datos del denunciante y su posterior asociación a unas deudas que no le corresponden, con inclusión en Asnef. Tampoco es asimilable la escisión de Iberdrola Generación SAU en la que se subroga Iberdrola Clientes SAU al supuesto previsto en el artículo 45.5.e), circunscrito a casos de fusión por absorción únicamente. VIII. El artículo 45.4 de la LOPD, establece que La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Es necesario examinar las circunstancias de aplicación del 45.4. Los criterios de graduación de las sanciones establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, da lugar a las siguientes observaciones: - El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio del consentimiento durante más de tres años. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es evidente, puesto que Ibergen es empresa que tiene como actividad la prestación de facturación de suministros de energía y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene el Grupo, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. - En lo que se refiere al volumen de negocio hay que hacer constar que es un hecho notorio que excluye la necesidad de aportar elemento probatorio alguno. Pertenece a uno de los grupos energéticos más importantes de la península ibérica y en otros países. - El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó incorporar a la base de datos como cliente a la persona denunciante y ordenó el cambio de comercializadoras no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a quien a los supervisores de todos ellos. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. - La imputada ha sido objeto de expedientes sancionadores por infracciones similares. - No se ha acreditado daño cuantificable en euros, solo puede computarse la redacción y presentación de escritos de reclamación y denuncias, y todas las gestiones a que se ve obligado la persona denunciante. -El balance de todas las circunstancias contempladas en el 45.4 de la LOPD permite graduar cada una de las sanciones en un importe de 50.000 €. IX Solicita la imputada la aplicación de los beneficios del concurso medial. Examinada la conducta de la compañía imputada y la tipificación que de la misma se hace en los apartados
- b)y
- c)del artículo 44.3 LOPD en relación con los artículos 4.3 y 6.1 LOPD, no se aprecia concurso medial entre las infracciones cometidas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 El artículo 4 del Real Decreto 1398/1993, de 4 de agosto, que aprueba el Reglamento de Procedimiento para el ejercicio de la potestad sancionadora por la Administración del Estado, dispone "En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida". Por tanto, el artículo 4.4 del Real Decreto 1398/1993, de 4 de agosto, exige, para su aplicación, la existencia de una relación tal entre las infracciones concernidas que una de ellas derive necesariamente de la otra, de modo que no sea posible la comisión de una sin ejecutar la otra. Pues bien, esta circunstancia no concurre en el presente, pues la conducta constitutiva de la infracción de tratamiento inconsentido de datos, no constituye medio necesario para la perpetración de la otra contravención administrativa objeto de imputación y sanción, la vulneración del principio de calidad de datos derivada de la indebida inclusión en Asnef. Pues la segunda pudo evitarse. En el presente caso –aunque a sensu contrario- ha de tenerse en cuenta al criterio que la Audiencia Nacional pone de manifiesto en su sentencia de 26/12/13 (Recurso nº 416/2012): "Por otro lado, no se ha imputado a la compañía sancionada otro tratamiento de los datos del denunciante diferente a su mera incorporación en una cinta magnética para su remisión a los ficheros de solvencia, como pudiera haber sido la emisión de facturas a nombre de aquel, la realización de comunicaciones con el denunciante o cualquier otra conducta reveladora del tratamiento de sus datos personales." En el caso que nos ocupa sí pudo ser evitada la segunda infracción -4.3 en relación 44.3.
- c)de LOPD- pues, producido el impago y la devolución de la notificación de los requerimientos, pudo evitar la inclusión en el fichero de morosos. Nadie la obligaba a la inclusión. En consecuencia, no procede estimar la petición de una sola sanción. Han de sancionarse las dos infracciones. Se sanciona por un tratamiento inconsentido de datos, tipificado en el artículo 44.3.
- b)en relación con el artículo 6.1 de la LOPD, consistente en tratar los datos personales del denunciante sin tener acreditada su identidad ni su voluntad de contratar, y se sanciona por la infracción del 4.3 en relación con el 44.3.c), pues producido el impago de facturas, activados mecanismos de recobro sin resultado positivo y devueltos sin notificar los requerimientos de pago previos, decidió incluir en Asnef los datos personales de la persona denunciante asociados a una deuda que no le correspondía. >>> III En su recurso Ibercli reitera sus alegaciones anteriores al acuerdo de inicio y a la propuesta, sin aportar hechos o argumentos jurídicos nuevos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 Los hechos declarados probados dejan claro, sin lugar a dudas, que la recogida de los datos y el tratamiento de datos posterior como la incorporación a la base datos de clientes de Ibercli y la gestión posterior de los contratos hasta la inclusión en los ficheros de morosos es un tratamiento sin el consentimiento de la persona titular de los mismos. La afirmación de Ibercli de que existía un acuerdo entre propietario e inquilino de la vivienda para mantener los contratos a nombre del propietario (denunciante) es una deducción gratuita de quien lo afirma, carente de relevancia a los efectos de este procedimiento, pues no se ha acreditado su existencia. Las reclamaciones y requerimientos del pago de las facturas devueltas impagadas por el banco, que la comercializadora realiza por si misma y por empresas de recobros, no recibieron respuesta del destinatario. A pesar de ello, la comercializadora, sin realizar comprobación alguna, incluye los datos personales del denunciante en Asnef en varias ocasiones. Nadie le obliga hacerlo, podía evitarlo, y esa decisión suya de realizar las inclusiones a pesar de todo, conforman el elemento subjetivo de la infracción del 4.3 de La LOPD. En consecuencia no puede considerarse la existencia concurso medial entre las infracciones imputadas. La reacción de la imputada ante las reclamaciones de la persona denunciante queda reflejada en el Fundamento de Derecho VII y su actuación no acredita diligencia suficiente para la regularización de la situación irregular producida por las infracciones que se imputan. Las bajas de los contratos que afirma en sus alegaciones haber realizado no han sido acreditadas. Tampoco la cancelación de los datos personales. La proporcionalidad de las sanciones impuestas con los hechos de las infracciones imputadas se determina con la aplicación de los criterios que se fijan en el artículo 45.5 y 4 de la LOPD. Invoca la recurrente la aplicación del apartado
- a)del 45.5, que nos remite al 45.4 para la graduación de la sanción. Todas las circunstancias de los hechos fueron analizadas y valoradas de forma detallada para la fijación de las sanciones impugnadas en el Fundamento de Derecho VIII. Las alegaciones formuladas no permiten modificar dichos importes. La más amplia argumentación – sobre lo EXCESIVO del montante de las sanciones- se basa en un criterio propio de la recurrente, que precisaría de una modificación normativa. Aquí se trata de la aplicación de la norma existente aplicable. En conclusión, en el presente recurso de reposición, Iberdrola Clientes SAU no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Iberdrola Clientes SAU contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 8 de enero de 2015, en el procedimiento sancionador PS/00434/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad Iberdrola Clientes SAU. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es