REPOSICION-TD-01494-2015

1/6 Procedimiento nº.: TD/01494/2015 ASUNTO: Recurso de Reposición Nº RR/00115/2016 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente, TD/01494/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 25 de enero de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente, TD/01494/2015, en la que se acordó estimar, por motivos formales, la reclamación de Tutela de Derechos formulada por D. A.A.A. contra entidad ENDESA ENERGÍA, S.A.U. (en adelante, ENDESA). SEGUNDO: En el procedimiento que dio lugar a la Resolución impugnada se tuvieron por probados los siguientes hechos: “PRIMERO: Con fecha 29 de junio de 2015, D. A.A.A. (en lo sucesivo, el reclamante) ejerció derecho de acceso frente a la entidad ENDESA ENERGÍA, S.A.U. (en adelante, ENDESA), sin que su solicitud haya recibido la contestación legalmente establecida. Tras haber recibido publicidad a través de SMS, el reclamante solicita conocer el origen de sus datos y la autorización para su uso firmada por él. SEGUNDO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones:  ENDESA acredita que ha procedido a atender el derecho acceso mediante escrito de fecha 5 de noviembre de 2015, por medio del cual pone en conocimiento del reclamante los datos de base relativos a su persona que obran en sus ficheros así como copia del contrato de suministro suscrito.  El reclamante manifiesta que ha sido atendido su ejercicio del derecho de acceso fuera del plazo legalmente establecido y que de la lectura del contrato recibido se desprende que la firma del contrato, el número de teléfono, y la fecha de nacimiento no se corresponden con las suyas, habiéndose producido una contratación fraudulenta a su nombre suplantando su identidad.  ENDESA alega los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 • Que obtuvo los datos de carácter personal del reclamante en virtud del contrato de energía que se realizó de forma presencial por los agentes comerciales de la mercantil ECOLUZ Y GAS, S.L., en virtud del contrato de prestación de servicios que Endesa Energía tenía suscrito con dicha entidad a estos efectos, mediante lo que comúnmente se conoce como contratación "a puerta fría". La contratación "a puerta fría" consiste, básicamente en que los comerciales recorren bloques de viviendas, ofreciendo los productos y servicios de ENDESA. • Que tiene implementado un procedimiento de control de calidad consistente en la realización de una llamada de verificación a efectos de confirmar el trato dispensado por los comerciales y, especialmente, la conformidad del consumidor con la contratación formalizada. En el presente caso, se procedió a efectuar el citado control de calidad consistente en la realización de una llamada telefónica al número de teléfono que consta en el contrato de suministro a efectos de la confirmación de dicha contratación (aporta copia de la grabación). • En el transcurso de dicha llamada, el interesado facilitó su segundo apellido, la dirección y fecha de nacimiento que consta en el contrato y confirmó que había procedido a firmar el mismo y a facilitar todos sus datos con motivo de la contratación. • Entiende que ha quedado debidamente acreditado que Endesa Energía ha atendido el derecho de acceso ejercitado por el reclamante así como que ha actuado diligentemente en base a la documentación contractual citada que dota a la contratación de una apariencia de veracidad y que elimina el elemento subjetivo de culpabilidad en la conducta de Endesa Energía, conforme viene entendiendo la Agencia en sus resoluciones, pudiendo citar, a título enunciativo, las resoluciones de archivo dictadas en el expediente n° E/00539/

1. E/02184/
2. E/03622/2012 y E/02307/
3. TERCERO: Son conocidos por las partes los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente en este procedimiento, tal y como consta en el expediente que obra en esta Agencia Española de Protección de Datos.” TERCERO: La resolución ahora recurrida fue notificada fehacientemente a D. A.A.A. (en lo sucesivo, el recurrente) el 3 de febrero de 2016, según constata el Servicio de Correos. Por la parte recurrente se ha presentado recurso de reposición en fecha 19 de febrero de 2016, con entrada en esta Agencia el mismo día, en el que señala, en síntesis, que ENDESA ha atendido su ejercicio de derecho fuera del plazo legalmente establecido, que no se ha sancionado a la Entidad reclamada, que no comparte el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 criterio de esta Agencia conforme que la Entidad reclamada ha actuado con razonable diligencia a la hora de identificar a la persona que realizaba la contratación y solicita copia de la grabación de verificación de la contratación aportada al procedimiento por ENDESA. FUNDAMENTOS DE DERECHO I En la Resolución ahora impugnada ya se advertía suficientemente sobre el alcance de las normas contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD) y en el Reglamento de desarrollo de la LOPD aprobado por Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD). II Antes de entrar en el fondo de las cuestiones planteadas en el presente recurso, hay que señalar que el procedimiento de tutelas de derechos se instruye como consecuencia de la denegación de alguno de los derechos regulados por la normativa de protección de datos (acceso, rectificación, cancelación y oposición). Por ello, en el presente caso, sólo serán analizadas y valoradas aquellas cuestiones planteadas por el recurrente que queden incluidas dentro del objeto del citado procedimiento de tutela de derechos. En base a estas normas y en consideración a los hechos tenidos por probados, se determinó estimar, por motivos formales, la reclamación interpuesta por el recurrente, precisamente por haber sido atendido extemporáneamente el derecho ejercitado, sin que procediera la realización de actuaciones adicionales. Así, atender una solicitud de acceso fuera de plazo no conlleva a priori una sanción asociada. Existe un procedimiento administrativo específico para tramitar y resolver este tipo de situaciones, el procedimiento de Tutela de Derechos. Cuya finalidad esencial es la protección de los derechos reconocidos en la LOPD, en este caso, el cumplimiento del ejercicio del derecho de acceso a sus datos personales. Derecho que fue atendido mediante escrito de fecha 29 de junio de
4. Cuestión distinta es que tras una resolución de la Directora de esta Agencia instando a atender un ejercicio de derecho no se cumpla con lo establecido en la misma. Situación que sí puede derivar en la apertura de un procedimiento sancionador y acabar siendo sancionado por infringir la normativa de protección de datos. No siendo este su caso. III Por otro lado, en cuanto a la actuación de ENDESA relativa al tratamiento de sus datos, se remite a lo manifestado en la resolución recurrida: “En el presente caso, el tratamiento de datos realizado por la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 reclamada fue llevado a cabo empleando una diligencia razonable. En este sentido, ha de tenerse en cuenta que ENDESA aporta copia de la grabación con verificador donde se comprueban determinados datos personales aportados por la persona contratante, su coincidencia con los datos del reclamante y que éste confirmó el cambio de suministrador. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de veintinueve de abril de 2010 al establecer que: “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación” o como se recoge en la sentencia de la Audiencia Nacional de diez de marzo de 2015 al señalar que: “por tanto, ningún reproche cabe hacer a la actuación de Telefónica Móviles España S.A. en este ámbito sancionador, pues como ya se ha expuesto actuó con la diligencia exigible, tratando los datos del denunciante a partir de la apariencia de legitimidad de la contratación de la línea en cuestión que le otorgaba la grabación telefónica (…)”. En definitiva, no cabe apreciar culpabilidad en la actuación de la entidad recurrente, por lo que no puede imputársele o ser sancionada ex artículo 130 LRJPAC por vulneración del principio de consentimiento ni tampoco, y en correlación, del principio de calidad de datos pues el requerimiento previo de pago se realizó en el domicilio que según la citada grabación telefónica correspondía al titular de la línea”. De acuerdo a estos criterios, se puede entender que ENDESA empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación. Junto a ello debe resaltarse que desde el momento en que la entidad reclamada tuvo sospechas de que la contratación del cambio de suministrador podía tener su origen en un ilícito penal, procedió a averiguar y verificar dichos extremos, realizando las gestiones precisas a los efectos de tramitar la suspensión del contrato de suministro, con el fin de no ocasionar perjuicio alguno al reclamante, cancelando a su vez la facturación emitida a éste y devolver el importe facturado. Habría que añadir que la posible falsificación del contrato o la suplantación de identidad deben sustanciarse en los ámbitos jurisdiccionales pertinentes de la vía penal.” Durante la tramitación del procedimiento de tutela de derecho se aclaró que ENDESA obtuvo sus datos de carácter personal en virtud del contrato de energía que se realizó de forma presencial por los agentes comerciales de la mercantil ECOLUZ Y GAS, S.L., en virtud del contrato de prestación de servicios que Endesa Energía tenía suscrito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 con dicha entidad a estos efectos, mediante lo que comúnmente se conoce como contratación "a puerta fría". La contratación "a puerta fría" consiste, básicamente en que los comerciales recorren bloques de viviendas, ofreciendo los productos y servicios de ENDESA. Por tanto, un tercero suplantó su identidad y formalizó un contrato de suministro, engañando a la Entidad reclamada que actuó con razonable diligencia, comprobando mediante una llamada telefónica ciertos datos aportados por la persona contratante, su coincidencia con sus datos y la confirmación del cambio de suministro. En relación a que no se solicitó la aportación del NIF del contratante como medio de acreditación de su personalidad, se ha de señalar que no corresponde analizar a esta Agencia dicha cuestión por exceder su ámbito competencial, ahora bien, se ha de manifestar que actualmente se realizan contrataciones de servicios y suministros a través de teléfono o internet sin que sea preciso la aportación de copia de NIF del contratante. Asimismo, respecto de la apertura de un procediendo sancionador por supuestas infracciones a la LOPD, se le remite al Fundamento Jurídico Sétimo de la resolución referenciada. IV La Entidad reclamada procedió a aportar copia del contrato escrito junto a sus primeras alegaciones, que le fue trasladado al reclamante mediante escrito de fecha 12 de noviembre de 2015, y de la grabación de la conversación telefónica de verificación llevada a cabo junto con sus segundas alegaciones. A este respecto, se adjunta a la presente resolución copia de la referida grabación. V En consecuencia, dado que el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede desestimar el presente recurso de reposición. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 25 de enero de 2016, en el expediente TD/01494/2015, que estima, por motivos formales, la reclamación de tutela de derechos formulada por el mismo contra entidad ENDESA ENERGÍA, S.A.U. SEGUNDO: NOTIFICAR la presente resolución a la entidad D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí. Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es