1/10 Procedimiento nº: PS/00660/2012 ASUNTO: Recurso de Reposición Nº RR/00611/2013 Examinado el recurso de reposición interpuesto por la entidad E.On Energía SLU contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00660/2012, y en base a los siguientes, HECHOS PRIMERO: Con fecha 12 de junio de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00660/2012, en la que se acuerda Imponer a la entidad E-On Energía SLU, por una infracción del artículo 10 de la LOPD, tipificada como tipificada como grave en el artículo 44.3.
- d)de dicha norma, una multa de 3.000 € (tres mil euros) de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 17/06/13, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00660/2012, quedó constancia de los siguientes: procedimiento sancionador, 1. 04/12/11, la persona denunciante (A.A.A.) envía, desde su dirección de correo electrónico (A.A.A.: .............@hotmail.com), a “gestión de clientes” de E-On, (gestión.clientes@eon.com), un e-mail con el siguiente contenido: “El motivo del presente es reclamar las gestiones realizadas por E.On sobre mi contrato con Endesa. Han procedido a solicitar la baja del contrato que tenía con ellos después de expresarles mi negativa a contratar con ustedes. En junio del presente año un comercial de E.On me informa de sus tarifas y procede a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 realizar la contratación, después de conocer el cambio de compañía les envíe un fax solicitando que no procedieran a contratar en mi nombre y aun así han realizado la contratación. Han vulnerado la ley de protección de datos pues por mi parte no hay ninguna cláusula firmada en la que les autorice a incluir mis datos en su base de datos y mucho menos a tener mis datos bancarios para realizar cargos. De no realizar por su parte las gestiones oportunas para que la contratación con Endesa quede tal cual estaba procederé a plantear las reclamaciones oportunas en las organismos públicos habilitados para tal efecto.” (folios 73-74, 82-83, 5) 2. 07/12/11, E-On por el mismo medio, arrastrando el mensaje anterior, responde a la denunciante (A.A.A.: .............@hotmail.com): “El contrato no se anuló porque faltaba la fotocopia del DNI de la persona titular, solo se ha recibido el escrito de anulación según se informó al teléfono de contacto indicado en fecha 25/7/11. (folios 73, 82, 5) 3. 08/12/11, la persona denunciante, arrastrando los 2 mensajes anteriores, responde: “En ningún momento me han pedido el DNI, es más porque he de mandar un DNI a una empresa a la que no he autorizado a hacer cambio de contrato. Tienen ustedes mi autorización? de ser así envíenme mi copia. “(folios 73, 82, 4) 4. 13/12/11, E-On, arrastrando los 3 mensajes anteriores, responde: “Qué es lo que solicita que le enviemos, la copia del contrato, en este caso es una grabación telefónica, o la documentación que envío para la solicitud de baja, que no se puedo llevar al trámite porque faltaba la fotocopia del DNI del titular.” (folios 7273, 81, 4) 5. 14/12/11, la persona denunciante, arrastrando los 4 mensajes anteriores, dice: “Quiero que me envíen la grabación telefónica”. (folios 72, 81-82, 4) 6. 20/12/11, E-On, arrastrando los 5 mensajes anteriores, responde: “Le adjuntamos la grabación telefónica” y la persona denunciante, arrastrando los 6 mensajes anteriores, responde: “No he recibido ningún archivo adjunto”. (folios 72, 81, 3-4) 7. 26/12/11, E-On, arrastrando los 7 mensajes anteriores, responde: “Adjunto enviamos la documentación solicitada”. (folios 71, 80, 3) 8. 21/01/12, la persona denunciante, arrastrando los 8 mensajes anteriores, dice: “Podrían decirme donde dicen en la conversación que me mandan que el contrato tendrá una permanencia de doce meses??, podrían también explicarme por qué no se procedió a la baja cuando dice muy claramente que “CON UNA SIMPLE LLAMADA PUEDO CANCELAR LA CONTRATACION”? Llamada que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 realicé y que además apoyé con el envío de un fax, “TODO EN EL PLAZO DE LOS SIETE DIAS”. Y por último el contrato escrito lo he recibido en diciembre, seis meses después de la conversación telefónica, ¿esa tardanza entra dentro de los plazos normales?”. (folios 71, 80, 2-3) 9. 25/01/12, E-On, arrastrando los 9 mensajes anteriores, responde enviando el email a “B.B.B.: ............1@hotmail.com”: “Para la anulación, es obligatorio recibir el fax con el DNI del titular (por seguridad hacia los titulares) La grabación dice que llamando se cancela (se le informa)”. Ese mismo día “B.B.B.: ............1@hotmail.com” remite, arrastrando los 10 mensajes anteriores, este mensaje a la persona denunciante: “Mi nombre es ***NOMBREBBB y he recibido este email de EÓN por error. Yo también estoy realizando reclamaciones con ellos y supongo que quien fuera se equivocó. Te escribo este email para que puedas reclamarles la gran eficacia que tienen en la protección de datos, compartiéndola con personas que no deberíamos tener acceso a tus datos. Espero que tú puedas conseguir que desde consumo les pongan firmes” (folios 70-71, 78-80, 2) 10. 24/02/13, la persona denunciante obtiene copia del contenido completo de los mensajes, incluyendo copia de las cabeceras, remitiéndolo dos días más tarde a la AEPD. (folios 69-83) TERCERO: E.On Energía SLU ha presentado el 17/07/13 en el Gobierno de Cantabria, con entrada el 22/07/13 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en : <<< La resolución sancionadora vulnera el principio de tipicidad. … constatar que el envío del correo electrónico por error a un tercero es un hecho aislado del que nos encontramos tremendamente arrepentidos. La infracción imputada debería haber sido calificada como leve y no como grave: E.On reconoció su responsabilidad en los hechos supuestamente infractores … E.ON ha reconocido y reconoce su responsabilidad en los hechos supuestamente infractores, al haber admitido la autoría en el envío de un correo electrónico a un destinatario erróneo. … tenía adoptadas, antes del envío erróneo, medidas de protección adecuadas, que han sido reforzadas para evitar que se repitan errores de ese tipo (letra i). El error ha sido involuntario y se desconocen los perjuicios concretos causados a la denunciante (letras f y h del artículo 45.4). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 Por tanto, … existiendo suficientes circunstancias atenuantes debe imponerse una sanción pecuniaria en su prado mínimo (900 euros). …, que se declare nulo o anule la Resolución sancionadora sin imposición de medida o multa alguna para esta sociedad. Subsidiariamente a lo anterior, solicitamos que en el caso de que se no anule la Resolución sancionadora se proceda a recalificar la infracción supuestamente cometida de grave a leve imponiéndose la posible multa pecuniaria en su cuantía mínima. >>> FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por E.On Energía SLU, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a IV ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<< II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a E-On que ha quedado reflejada en los hechos declarados probados arriba relatados. E-On es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con las exigencias del principio del deber de secreto contenido en el artículo 10 de la LOPD. A. La persona denunciante mantenía con E-On una controversia sobre el cambio de compañía comercializadora de energía y una contratación no admitida por la persona denunciante. En esa situación intercambiaron diversos correos electrónicos, arrastrando en la respuesta los mensajes anteriores. B. El mensaje de 25/01/12, acompañado de todos los anteriores, fue remitido a la dirección de correo electrónico de una tercera persona, que una vez lo recibió se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 puso, por el mismo medio, en contacto con la denunciante remitiéndole todos los correos acumulados. C. Todos los documentos que obran en el procedimiento han sido aportados por la persona denunciante. E-On no ha aportado ninguno, no ha acreditado el hecho del error a que alude como causa del envío de los correos a tercera persona, ni ningún otro. En conclusión, ha realizado un tratamiento de los datos personales de la persona denunciante, comunicándoles a un tercero infringiendo el principio de deber de secreto exigido. III El artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de secreto profesional que incumbe a “el responsable del fichero y a quienes intervengan en cualquier fase del tratamiento…”, recogido en el artículo 10 de la LOPD, comporta que éstos no puedan revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de marzo, y por lo que ahora interesa, comporta que los datos tratados automatizadamente no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. A. En el presente caso partimos del hecho de que datos personales de una supuesta o posible cliente de E-On, contenidos en mensajes electrónicos ha sido remitido a una tercera persona sin tener el consentimiento de la titular de los datos (hoy denunciante). B. No puede admitirse como motivo que el contenido de los mensajes no era un dato personal, porque puede hallarse en la página correspondiente de la entidad. La dirección de correo electrónico saliente es la de una unidad administrativa de la entidad -gestión clientes- que en el desempeño de sus funciones realiza una tarea en la gestión encomendada, sin la diligencia necesaria, pues los mensajes de “A.A.A.: .............@hotmail.com” los envía a “B.B.B.: ............1@hotmail.com”. La dirección de correo electrónico de la destinataria es un dato personal privado, al igual que el contenido de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 mensajes. C. La actuación es imputable a la entidad denunciada, que incurre en una infracción al deber de secreto que exige el artículo 10 de la LOPD.E-On debe tener en cuenta su obligación de guardar y proteger los datos de sus clientes. Los datos personales de la denunciante llegaron a poder de la tercera persona. El hecho indica que el responsable del fichero incumplió su deber de secreto a través de la acción, omisión o negligencia de algunos de sus empleados, para conseguir un fin. IV El artículo 44.3.
- d)de la LOPD establece que es infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” Los datos personales contenidos en los mensajes, al igual que la dirección electrónica, a los que tuvo acceso el tercero destinatario del mismo están incorporados a un fichero de clientes de la sociedad imputada. Sobre los cuales la imputada tenía el deber de guardar secreto que exige el artículo 10 de la LOPD. V. El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 A. E-On pretende la aplicación del artículo 45.5.
- d)de la LOPD. Pretensión que no puede ser atendida por cuanto no ha reconocido voluntariamente la responsabilidad en los hechos en ninguno de los escritos que ha presentado en este procedimiento. Tan solo alega que la causa es un error ajeno a su voluntad, sin acreditar las circunstancias en que ese error se ha producido y porque ha producido esa conducta antijurídica. Por otra parte esta petición se contradice con su solicitud de archivo final. B. El artículo 8.1 del RD 1398/1993 de 4 de agosto, establece que podrá resolverse el procedimiento, sin más trámite, si se reconoce la responsabilidad por el infractor. El único fin es resolver rápidamente el procedimiento sancionador, en ningún caso su archivo, pues indica que se impondrá la sanción que proceda. No fue posible la conclusión rápida del procedimiento sancionador porque, además de pedir el archivo, la imputada solicita la imposición de la sanción mínima de las leves. Eso requería la acreditación de circunstancias que permitieran la aplicación del 45.5 y 4 de la LOPD, lo que no era posible ante la no aportación de documentos por la imputada. C. El 45.5.
- d)permite impone la sanción dentro del tramo inferior si se reconoce la culpabilidad, es decir no solamente el elemento objetivo del hecho antijurídico, también admite el elemento subjetivo – la culpabilidad- en la infracción de la norma, y por tanto acepta una sanción. El importe de esta sería fijado de acuerdo con las circunstancias y los criterios del apartado cuarto del citado art. 45. D. No obstante, se observa la concurrencia de varios de los criterios de ese apartado 4, en las circunstancias de los hechos denunciados. Tales como que el tratamiento irregular que permitió el acceso a los datos de la denunciante por una tercera persona, solo se produjo una vez y no tuvo continuidad. Solo una persona tuvo acceso a los datos. No se han acreditado otros hechos similares, a pesar de la vinculación de la imputada con la realización de tratamiento de datos personales, dado el elevado número de clientes personas físicas. Los datos personales a los que la tercera persona ha tenido acceso son escasos y asociados a una fase de una relación jurídica en conflicto. No se ha acreditado que la imputada obtuviera beneficio del hecho denunciado, ni que haya causado perjuicio a la persona denunciante, aparte de la comunicación del contenido de los mensajes. La imputada afirma que, inmediatamente que tuvo conocimiento de los hechos denunciados, revisó las correspondientes medidas de seguridad para el envío de correos e impartió cursos de formación específicos, y ha iniciado estudio de técnicas y procedimientos de control de mayor eficacia. Por tanto, se estima que concurren los suficientes criterios del 45.4, y de forma significativa, para proceder a establecer la sanción aplicando la escala relativa a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 infracciones leves, tal como establece el 45.5.
- a)y con un importe de 3.000 euros. >>> III Por lo tanto, en el presente recurso de reposición, E.On Energía SLU no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. El reconocimiento de la responsabilidad, como se expresa en el fundamento V, conlleva la aceptación de una sanción, incompatible con la solicitud de archivo del suplico del recurso. Su petición subsidiaria no puede ser asumida pues al aplicar el 45.5.
- a)de la LOPD la sanción impuesta es de las leves. Para atender su importe de sanción por el mínimo de las leves, deberían concurrir, además de las consideradas, otras circunstancias que no han sido acreditadas. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por E.On Energía SLU contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 12 de junio de 2013, en el procedimiento sancionador PS/00660/2012. SEGUNDO: NOTIFICAR la presente resolución a la entidad E.On Energía SLU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. JOSÉ LUIS RODRÍGUEZ ÁLVAREZ DIRECTOR DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es