1/9 Procedimiento nº.: PS/00542/2012 ASUNTO: Recurso de Reposición Nº RR/00378/2013 Examinado el recurso de reposición interpuesto por la entidad Hidrocantábrico Energía SAU contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00542/2012, y en base a los siguientes, HECHOS PRIMERO: Con fecha 8 de abril de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00542/2012 , en la que se acuerda IMPONER a la entidad Hidrocantábrico Energía SAU, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 10/04/13, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00542/2012, quedó constancia de los siguientes: procedimiento sancionador, <<< HECHOS PROBADOS 1. 1.17/01/11, fecha del contrato de servicios entre HC Energía y Redes para la captación de clientes. 2. 2.25/04/11, fecha del formulario de “contrato de suministro de energía y / o servicios” cumplimentado con los datos de la persona denunciante A.A.A. (nombre, apellidos, nº de DNI, domicilio, teléfono fijo y móvil), el CUPS de la vivienda, marcada las casillas de “fórmula gas hogares” y “servicio funciona” para la instalación de gas con marca “Vaillant” y la CCC bancaria para la domiciliación de facturas. En la parte inferior central sobre el rotulo cliente figura una firma con el nombre y apellido del denunciante, totalmente diferente a la que suscribe la denuncia y el DNI. No va acompañado de copia del DNI ni de factura de la comercializadora de gas que tenía contratada. 3. 3.11/05/11, fecha de alta que figura en la base de datos de HC Energía del contrato de suministro de gas natural con la persona denunciante como titular. (Folio 96) 4. 4.12/07/11, fecha de baja que figura en la base de datos de HC Energía del contrato de suministro de gas natural con la persona denunciante como titular. Motivo de la baja: cambio de comercializadora. (folio 96) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 5. 5.19/07/11, HC Energía emite para la persona denunciante, a su nombre y domicilio, factura por importe de 71,77 € (59,27 € y 12,50 €). 6. 6.02/09/11, HC Energía emite para la persona denunciante, a su nombre y domicilio, factura por importe de 43,69 € (total gas natural 35,55 € y total servicios 8,14 €) sin especificar periodo. (folio 5) 7. 7.10/09/11, la persona denunciante comparece en la Comisaria de la Policía Nacional para formular la siguiente denuncia: << -- En MOSTOLES, siendo las 08 horas 57 minutos del día 10 de septiembre de 2011, ante el Instructor y Secretario arriba mencionados. -- COMPARECE: En calidad de DENUNCIANTE, quien mediante DNI n ***DNI.1, acredita ser A.A.A., país de nacionalidad ESPANA, varón, nacido en ***POBLACIÓN.1 (AVILA), el día DD/MM/AA, hijo de ***NOMBRE-PADRE.1 y ***NOMBRE-MADRE.1, con domicilio en (C/...................1) (MADRID), teléfono ***TEL.1, y: -- MANIFIESTA: Que denuncia los hechos, que se detallan a continuación, ocurridos el día 20/06/2011, en Piso, (C/...................1) (MADRID). -- Que se persona en estas dependencias como el titular de una cuenta bancaria del Banco Santander Central Hispano, desconociendo los datos totales de la cuenta. -- Que en junio del presente año, se personaron en su domicilio particular dos comerciales de la empresa HC ENERGIA. Que estas dos personas le ofrecieron la contratación de un contrato de gas natural, el cual le ofrecía unas ciertas ventajas con respecto a la compañía que el dicente tiene contratada, y que el dicente rechazó amablemente. -- Que en ningún momento firmó ningún documento, ni le tomaron sus datos bancarios ni personales. -- Que en el mes de Julio del año de las presentes recibió una carta de la compañía ENDESA en la cual se le informa que se había dado baja en esta compañía, habiéndose dado de alta en HC ENERGIA. - Que el dicente llamó a ENDESA aludiendo que él no se había dado de baja, haciendo constar que quería continuar con el contrato. -- Que a pesar de todo esto en Julio recibe una factura de gas natural de HC ENERGIA por valor de 71,77 Euros. -- Que en Septiembre vuelve a recibir una factura de gas natural de HC ENERGIA por valor de 43,69 Euros. -- Que el dicente se puso en Contacto con su sucursal bancaria del Banco Santander Central Hispano para que devuelva los cargos facturados. -- Que de las facturas de gas se adjunta copia al cuerpo de las presentes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 -- Que no tiene/n más que decir, firmando su declaración en prueba de conformidad, en unión del Instructor. CONSTE Y Certifico. >>. 8. 8.23/09/11, HC Energía remite a la persona denunciante, a su nombre y domicilio, “requerimiento de pago” por importe de 71,77 €, correspondiente a dos facturas de 19/07/11. 9. 9.26/09/11, HC Energía remite a la persona denunciante, a su nombre y domicilio, “notificación de pago” por importe de 43,69 €, correspondiente a dos facturas de 02/09/11. (folio 7) 10. 10.21/10/11, la persona denunciante comparece en la OMIC del Ayuntamiento de Móstoles para formular la siguiente denuncia: “Me han cambiado de compañía de gas sin haber autorizado ni firmado nada. Han usado todos mis datos sin permiso: nombre, DNI, datos bancarios, etc., reclamándome facturas. Reclamo no pagar facturas que me mandan. Denunciar para que no vuelva a pasar ni a mí, ni “a nadie”.”. 11. 11.31/10/11, entrada en la AGPD de la denuncia de A.A.A. a HC Energía porque le han cambiado de compañía de gas sin haber autorizado ni firmado nada, y han usado sus datos personales sin permiso. 12. 12.03/11/11, la OMIC citada da traslado de la denuncia a HC Energía para que formule alegaciones y aporte documentos, si lo cree oportuno. 13. 13.15/11/11, respuesta de HC Energía a la OMIC remitiendo copia del formulario de contrato, comunicando que ya no hay relación contractual con el denunciante y ofreciendo la posibilidad de fraccionamiento. 14. 14.15/06/12, la AEPD solicita información a HC Energía sobre los hechos denunciados. Sin respuesta. 15. 15.29/10/12, entrada en la AEPD de documentos remitidos por el denunciante: factura de 17/07/10 de adquisición de “caldera baja inox F24, Thema. Saunier Duval”, y “certificado de instalación individual de gas” de 30/07/10 con la citada caldera incorporada. 16. 16.07/11/12, fecha del escrito de HC Energía a la AEPD adjuntando impresión de pantallas que reflejan el contenido de la base de datos de clientes, donde figura el denunciante con los datos de nombre, apellidos, nº de DNI, domicilio, teléfono fijo, la CCC bancaria para la domiciliación de facturas, con el contrato ***NÚMERO.1 para la instalación ***NÚMERO.2 con las fechas de alta y baja arriba citadas. >>> TERCERO: Hidrocantábrico Energía SAU ha presentado el 09/05/13, con entrada el 13/05/13 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en la reiteración de las alegaciones anteriores, en la responsabilidad de la empresa contratada para la captación de clientes, en la valoración personal de los documentos probatorios, en la responsabilidad en los hechos del denunciante al no haber reclamado antes a la compañía, de la rápida actuación para solucionarlo y de la falta de proporción de la sanción impuesta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por Hidrocantábrico Energía SAU, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a IV ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<< II La LOPD establece: “Artículo 6. Consentimiento del afectado “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” El principio del consentimiento del afectado para la recogida o tratamiento de los datos personales del mismo es uno de los pilares de la protección de datos en el vigente ordenamiento jurídico español, imprescindible para preservar el derecho fundamental constitucionalmente protegido de la intimidad de las personas. Se imputa a la denunciada en el presente procedimiento, la comisión de una infracción del artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Carece del consentimiento inequívoco de la afectada el tratamiento efectuado por HC Energía. Sus empleados o agentes hacen tratamiento de los datos personales de la persona denunciante ´-nombre apellidos, teléfono, dirección postal y cuenta bancariapara hacer ofertas de suministros y servicios, editar contratos, notificaciones y facturassin su consentimiento inequívoco. La denunciante tenía un contrato de suministro de gas con Endesa, cuando los agentes de la empresa encargada del tratamiento para la contratación para HC Energía, le hace una oferta para ahorrar dinero en su factura de suministros. Dichos datos son utilizados sin hacer obtenido su consentimiento y sin que tuviera apoyo legal para hacerlo, pues no era cliente de esa compañía. La imputada no ha acreditado motivo, razón o circunstancia que justificara ese tratamiento de datos sin consentimiento de la persona afectada. En este caso los datos los datos personales del denunciante sin su consentimiento son usados para cumplimentar un formulario de contratación primero, para darle de alta en el fichero de clientes, gestionar el cambio de compañía y emitir facturas por el suministro sin tener el consentimiento de la persona denunciante, que manifestó su voluntad en contra. Para que el tratamiento de los datos de la persona denunciante por parte de HC Energía resultara conforme con los preceptos de la LOPD, hubieran debido concurrir en el procedimiento examinado alguno de los supuestos contemplados en el artículo 6 de la Ley mencionada. Sin embargo, nunca hubo consentimiento para el tratamiento de sus datos. Tampoco concurre ninguno de los supuestos exentos de prestar tal consentimiento, de modo que se considera infringido el citado artículo 6.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 III. El artículo 44.3.
- b)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
- b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. La Audiencia Nacional ha manifestado en su Sentencia de 22/10/2003 que “... la descripción de conductas que establece el artículo 44.3.
- d)de la Ley Orgánica 15/1999 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos, realizando envíos publicitarios”. En este caso, ha incurrido en la infracción arriba descrita HC Energía ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6 de la LOPD. Han tratado los datos de la denunciante sin contar con su consentimiento y en contra de su voluntad, lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
- d)de la citada Ley Orgánica. IV. El artículo 45 de la LOPD, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. La imputada no ha acreditado que desarrollara actividad alguna de control y verificación de los datos proporcionados por la encargada del tratamiento de contratación. A pesar de que no presentaba con el formulario de contratación ningún documento que acreditara la identidad con copia del DNI de la persona supuestamente contratante. Tampoco ha acreditado que efectuara llamadas telefónicas de comprobación o carta de bienvenida antes de proceder a gestionar el cambio de compañía comercializadora e incorporarle al fichero de clientes. La persona denunciante recibe en julio 2011 la comunicación de Endesa, la compañía con la que tenía contratado el gas, que le comunica que ha causado baja en la compañía por haberse tramitado el alta en HC Energía. Como nunca ha contratado con esa compañía, gestiona inmediatamente el cambio de comercializadora para volver a la situación anterior que es tramitado con efectos de 12/07/11. A pesar de ello recibe ese mismo mes la 1ª factura de HC Energía y poco más de un mes después la segunda. Da orden al banco para no pagarlas y presenta denuncia en la Comisaría de Policía. Como sigue recibiendo avisos y requerimientos de pago de esas facturas presenta denuncia en la OMIC. HC Energía en su respuesta a la OMIC comunica que ya no está de alta en la compañía y que propone al reclamante el fraccionamiento de pago de las facturas. Para valorar la reacción de HC Energía ante la reclamación del denunciante manifestando su disconformidad con el cambio de comercializadora y la falta de su consentimiento para la supuesta contratación, ha de considerarse el hecho de que la única reclamación notificada a la imputada, que ha sido acreditada es la de la OMIC el 03/11/11, después de la baja por cambio de comercializadora el 12/07/11. La imputada solo ha acreditado la comunicación a la OMIC, ninguna al denunciante, y solo para facilitar el pago con un fraccionamiento. No hay constancia de que el tratamiento de datos sin consentimiento haya cesado y los datos personales del denunciante hayan sido cancelados o bloqueados. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 40.001 € y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, el carácter continuado de la infracción, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal y el volumen de negocio de la misma, se impone una multa de 50.000 €. >> III Por lo tanto, en el presente recurso de reposición, Hidrocantábrico Energía SAU no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Los hechos probados de la resolución impugnada no han sido puestos en cuestión con nuevos documentos probatorios. El tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco ha sido acreditado en la actuación de la imputada hoy recurrente. Sin constar acreditado en los documentos recibidos la identificación de la persona posible cliente, no realiza ninguna gestión comprobatoria e incorpora los datos a sus ficheros de clientes y emite facturas y comunicaciones. La actuación de la recurrente con posterioridad a tener conocimiento de la contratación irregular no es muy diligente para tratar de solucionar dicha situación. A pesar de que en dos meses después del alta consigue el regreso a su antigua compañía comercializadora, no realiza actuación alguna para regularizar la situación y persiste en su reclamación de deudas por un contrato que no ha tenido lugar. Si ha cesado en el tratamiento de los datos de la persona denunciante no ha sido acreditado en el procedimiento sancionador. Es pues acertada la tipificación de la infracción y la imposición de la sanción en ese importe. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Hidrocantábrico Energía SAU contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 8 de abril de 2013, en el procedimiento sancionador PS/00542/2012. SEGUNDO: NOTIFICAR la presente resolución a la entidad Hidrocantábrico Energía SAU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es