1/13
Procedimiento Nº: PS/00188/2019
938-0419
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
En el procedimiento sancionador PS/00188/2019, instruido por la Agencia Española de
Protección de Datos, a la entidad MADRILEÑA RED DE GAS S.A.U., (en adelante,
“entidad reclamada”), vista la denuncia presentada por Dª. A.A.A., (en adelante, “la
reclamante”), y en base a los siguientes,
ANTECEDENTES
PRIMERO: Con fecha 28/08/18, tiene entrada en esta Agencia escrito, presentado por
la reclamante, en el que expone, entre otras, lo siguiente: “En relación al contrato de
suministro de gas con Madrileña de Gas, de la cual soy única titular del contrato nº
***CONTRATO.1 y no habiendo otorgado representación alguna a terceros, la
compañía ha facilitado a la inquilina del inmueble de mi propiedad, sito en
***DIRECCION.1 información sobre mis datos e histórico de consumo, dándome la
inquilina traslado de esto, a través de una imagen vía WhatsApp, el 11/08/18”. Se
aporta copia del mensaje recibido vía WhatsApp.
SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos
aportados por el reclamante, la Subdirección General de Inspección de Datos procedió
a realizar actuaciones para su esclarecimiento, al amparo de los poderes de
investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento
(UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así,
con fechas 10/10/18, 25/10/18 y 15/01/19, se dirige requerimientos informativos a la
entidad MADRILEÑA SUMINISTRO DE GAS, S.L. sita en: c/ Anabel Segura 16 Edif.
Vega Norte I 28108 Alcobendas (Madrid).
TERCERO: Con fecha 15/01/19, se dirige requerimiento de información a la
reclamante, para que presente información en esta Agencia, sobre el contrato de
arrendamiento del inmueble objeto de la reclamación y copia, en su caso, de contrato
de prorroga hasta el momento de la presentación de la reclamación. Dicha
documentación es enviada a esta Agencia con fecha 21/01/19.
En dicho contrato, celebrado el 16/09/17, se constata que la vivienda alquilada se
encuentra en la ***DIRECCION.1. La propietaria de la misma es, Dª A.A.A. con
dirección de correo electrónico a efectos de notificación ***EMAIL.1 y los arrendatarios
son, D. B.B.B. y Dª C.C.C., con dirección de correo electrónico a efectos de
notificación ***EMAIL.2
CUARTO: Con fecha 07/02/19, la Subdirección General de Inspección de Datos
procedió a realizar requerimiento informativo a la entidad MADRILEÑA RED DE GAS,
SAU sita en c/ Virgilio 2, B, Edificio 1, Centro Empresarial Arco; 28223 Pozuelo de
Alarcón, (Madrid), solicitando que presentase información relativa a la reclamación
presentada por la reclamante como consecuencia de la comunicación de datos de su
contrato a terceros.
QUINTO: Con fecha 15/02/19, la entidad MADRILEÑA RED DE GAS SAU, envía a
esta Agencia escrito informando, entre otras, que: “Madrileña Red de Gas es una
empresa distribuidora de gas, que entre otros cometidos. gestiona las solicitudes de
puesta en servicio tramitados por las Empresas Comercializadoras. Como resultado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/13
de una contratación de suministro de gas que dichas empresas gestionan con los
usuarios finales. Por tanto, Madrileña Red de Gas no les puede aportar copia del
contrato de suministro, entendiendo que dicho documento debe ser aportado por la
empresa comercializadora con la que la usuaria haya tramitado la contratación del
suministro.
Para el punto de suministro CUPS del que se solicita información en la llamada
referenciado en el punto siguiente, en el momento de dicha llamada, no constaba
ningún contrato en vigor desde el año 2013, fecha en la que se dio de baja el contrato
anterior. Por lo tanto. dicho punto se encontraba disponible en el sistema para nuevas
contrataciones y no estaba asociado a ningún titular. Por otro lado. el titular del
contrato anterior ya dado de baja que consta en nuestros históricos, es una tercera
persona que no coincide con la reclamante reflejada en su escrito de Requerimiento
de información. Por último. intentando averiguar alguna información que aclarara esta
consulta. no localizamos registros relacionados con la interesada
Respecto al Procedimiento empleado para la identificación de la persona que presentó
la solicitud de información nos consta en nuestro sistema el registro de una llamada a
nuestra plataforma telefónica realizada el 13/04/18 por la usuaria Dña. D.D.D.. donde
solicitaba el Código Universal del Punto de Suministro sito en la ***DIRECCION.2.
sobre el que quería contratar servicio de gas, el cual nos figuraba en el sistema como
disponible para poderlo contratar y, por lo tanto. no asociado a ningún titular. Para
aportar el código CUPS. el agente telefónico solicitó a la usuaria que se identificara
aportando nombre y DNI, momento en el cual procedió a facilitarle dicha información.
No se proporcionó ningún tipo de dato personal puesto que, como se ha venido
explicando, dicho punto de suministro se encontraba disponible en el sistema para
nuevas contrataciones y no estaba asociado a ningún titular”.
SEXTO: Con fecha 20/02/19, la Subdirección General de Inspección de Datos dirige
comunicado a la entidad MADRILEÑA RED DE GAS SAU, al detectar en el escrito
recibido el 15/02/19, una alteración en los datos aportados. Así, con fecha 06/03/19, la
entidad reclamada envía carta a esta Agencia, informando que:
“Tras revisar el código que nos aportan con numeración ***REFERENCIA.1 hemos
encontrado un registro asociado a un punto de suministro. en el que la titular del
contrato fue Dña. A.A.A. hasta el 22/10/18 y consta en el sistema el registro de un
email recibido en el buzón atenció[email protected] , en Abril de 2018
solicitando información de consumo de un punto de suministro. Concretamente, dicha
solicitud se refería al historial de lecturas de Dª A.A.A., indicando que el DNI del
solicitante era el ***NIF.1. Tras comprobar que la persona que decía solicitar la
información, efectivamente tenía un contrato activo que correspondía con el DNI
informado, se le envían exclusivamente los datos de consumo solicitados.
Los datos trasladados se limitan al consumo del punto de suministro vinculado al DNI
y a nombre de la solicitante, A.A.A., en el periodo 31/12/10 al 15/09/12. Dicha
información se remite por correo electrónico al mismo email desde el que se hace la
solicitud de información, ***EMAIL.3. Adjuntamos copia de dicho correo con la
información”.
SÉPTIMO: Con fecha 24/06/19, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de
los poderes establecidos en el artículo 58.2 del RGPD y en los artículos 47, 64.2 y
68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y Garantía de los Derechos Digitales (LOPDGDD), por la infracción del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/13
artículo 5.1.f) del RGPD tipificada en el artículo 83.5.a) del RGPD y considerada muy
grave, a efectos de prescripción, en el artículo 72.1.a) de la LOPDGDD, argumentado
en el mismo que: se ha verificado que, el número de referencia de la consulta que
figura en la denuncia está asociado a un punto de suministro del que era titular la
reclamante hasta el 22/10/18. La consulta, nº ***REFERENCIA.1 se hizo por correo
electrónico a la dirección atenció[email protected], en abril de 2018,
indicando como DNI del solicitante, el de la titular del contrato.
Aunque la entidad reclamada aporta el correo de contestación a la solicitud nº
***REFERENCIA.1 y manifiesta que es la misma que la del remitente de la solitud, se
comprueba que los datos no corresponden con los de la titular del contrato de
suministro, ya que en dicha dirección figura como destinatario E.E.E. < ***EMAIL.3
>.Tampoco aporta el correo mediante el que se solicita la información y en el que
supuestamente se indicó los datos de la reclamante.
OCTAVO: Notificado el acuerdo de inicio, la entidad reclamada, MADRILEÑA RED DE
GAS (MRG), mediante escrito de fecha 10/07/19, formuló, en síntesis, las alegaciones
ya expuestas en la propuesta de resolución.
NOVENO: Con fecha 09/08/19, se inició el período de práctica de pruebas,
acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta
por la denunciante y su documentación, los documentos obtenidos y generados que
forman parte del expediente E/00242/2019 y b).- dar por reproducido a efectos
probatorios, las alegaciones al acuerdo de inicio del PS/00188/2019, presentadas por
la entidad denunciada.
DÉCIMO: Con fecha 02/09/19, se notifica la propuesta de resolución sancionadora
consistente en que por parte de la Directora de la Agencia Española de Protección de
Datos se sancione a la entidad reclamada por infracción del art 5.1.f) del RGPD,
tipificada en el artículo 83.5.a) de dicha norma y considerada “muy grave” a efectos de
prescripción, en el art. 72.1.a) de la LOPDGDD, fundamentándolo en que, según se
desprende la documentación existente en el expediente: “desde el correo electrónico
***EMAIL.2, perteneciente a los arrendatarios de la vivienda sita en ***DIRECCION.1,
desde septiembre de 2017, se envió un correo electrónico, utilizando los datos
personales de la dueña vivienda, (su nombre y DNI), a dirección de correo electrónico
de la entidad, MADRILEÑA RED DE GAS SAU, atencion.usuarios@madrileña.es ,
para solicitar el consumo de gas realizado en la vivienda durante los años 2011 y
2012.
La entidad reclamada, considerando que la solicitante de dicha información estaba
debidamente identificada con los datos aportados, reenvió a la dirección de correo
electrónico de los inquilinos los datos de consumo de la vivienda en los años 2011 y
2012 de la dueña de la vivienda.
Queda constatada la falta de diligencia, en la acreditación de la identidad de la
solicitante por parte de entidad, ya que no requirió evidencias suficientes para la
correcta identificación como cliente, más aún, cuando en el campo “remitente”, del
correo electrónico de la solicitud, aparecía otra persona distinta a la del titular del
contrato, muestra de que la entidad no garantiza el cumplimiento de la RGPD a la hora
de verificar que los datos de la persona que se pone en contacto con ellos, es quien
dice ser.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/13
Hay que reiterar que este procedimiento sancionador abierto contra MADRILEÑA RED
DE GAS SAU, hace referencia al tratamiento de datos de carácter personal que
gestiona la compañía y la falta de diligencia en la adopción de medidas adecuadas
que garanticen el cumplimiento del RGPD, en este caso, en lo referente a la
usurpación de las identidades de los clientes y al fraude que ello puede dar lugar, sin
entrar a valorar aquí, que los datos ofrecidos después por la compañía estuvieran o no
amparados por el RGPD (artículo 4 y considerando 30)”.
UNDÉCIMO: Notificada la propuesta de resolución, la entidad reclamada presenta
alegaciones a la propuesta en el periodo concedido al efecto, fundamentando en
esencia, lo siguiente:
“En el punto PRIMERO de apartado HECHOS PROBADOS del escrito de la
PROPUESTA, se recoge un contrato de alquiler entre la reclamante Dª A.A.A. y sus
inquilinos D. B.B.B. y Dª C.C.C.. En dicho contrato se establece una vinculación entre
los inquilinos y el correo ***EMAIL.2. Sin embargo, MRG no tiene conocimiento de
ningún tipo de la existencia de tal contrato, ni mucho menos de los datos de los
inquilinos, por lo que no puede vincular dicho correo a una tercera persona de forma
que sea conocedora de que no es un correo del titular del contrato que esté usando
para comunicarse con MRG. Desde nuestro punto de vista, lo que muestra dicho
contrato es lo siguiente: a) Que la titular proporciona sus datos personales a su
inquilina con la finalidad de la gestión de la relación contractual entre las partes,
relación demostrada por dicho contrato. Por lo tanto. los inquilinos cuentan con la
información necesaria para identificarse en nombre de los titulares del contrato de
suministro de gas. Si este uso es indebido o no, no podemos determinado por no
conocer los términos del contrato ni lo acordado entre las partes. b) Queda
demostrado que, como alegó MRG en la respuesta a la propuesta de sanción de fecha
27/06/19, Dª A.A.A. incumplió sus obligaciones al no realizar un traspaso de su
contrato de gas al inquilino ni comunicarlo formalmente a MRG. Al no cumplir con este
requisito, MRG no puede de ninguna forma tener constancia de dicha situación.
Además, puesto que el inquilino cuenta con los datos identificativos del titular. hace en
la práctica muy complicado identificar de forma fehaciente al solicitante de información
como titular del contrato.
Insistimos en que, según el artículo 21, 1, c) del Real Decreto 1434/2002 que regula
las actividades de transporte, distribución, comercialización. suministro y
procedimientos de autorización de instalaciones de gas natural, se impone la
obligación al titular del punto de suministro, en este caso a la reclamante, " Que el gas
natural se destine a su propio uso”, obligación legal que está infringiendo la
reclamante al permitir que el gas sea usado por persona distinta. en este caso la
arrendataria.
Además, el artículo 36.2 de este Real Decreto 1434/2002 establece que: 2. El
contrato de suministro es personal, y su titular deberá ser el efectivo usuario del
combustible, que no podrá utilizado en lugar distinto para el que fue contratado, ni
cederlo, ni venderlo a temeros. Pudiendo traspasado a terceros en las condiciones
establecidas en el art. 39. 1 de dicho Real Decreto 1434/2002: 1. Para un punto de
suministro, el consumidor que esté al corriente de pago podrá traspasar su contrato a
otro consumidor que vaya a hacer uso del mismo, en idénticas condiciones. El titular la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/13
pondrá en conocimiento de la empresa distribuidora mediante comunicación que
permita tener constancia a efectos de expedición del nuevo contrato.
En el punto 2º de los HECHOS PROBADOS, se recoge que los correos solicitando la
información de los consumos se realizan desde ***EMAIL.2. Esto mismo se afirma en
los FUNDAMENTOS DE DERECHO. Sin embargo, esto no es correcto. Como se
puede comprobar en los correos que se aportaron al expediente, los correos se dirigen
desde la cuenta ***EMAIL.3 que tampoco parece ser la que consta en el contrato entre
la titular y su inquilina. Queremos señalar que este error no es el primero que se
produce en la tramitación de este procedimiento.
Ya anteriormente, en la primera comunicación que se dirigió a MRG. se solicitó por
parte de a la AEPD información sobre un punto de suministro que no estaba
relacionado con este caso. Posteriormente, y tal como explica la AEPD en su propio
escrito de propuesta de sanción y recoge en su ANEXO, se han enviado
comunicaciones notificando este expediente a MADRILENA SUMINISTRO DE GAS,
empresa totalmente ajena MRG, en varias ocasiones. A este respecto, en su anterior
escrito se daba a entender que MRG no había contestado a las comunicaciones de la
AEPD cuando, en realidad, esas notificaciones fueron dirigidas a otro destinatario
indebidamente por parte de la propia AEPD no identificando correctamente al
destinatario. En la respuesta a la Propuesta de acuerdo de inicio sancionador remitida
con anterioridad, MRG intentó aportar como prueba una grabación de una llamada
donde se identifica la llamante como A.A.A., proporciona el correo de contacto
***EMAIL.2 y se aporta una lectura de contador. Sin embargo, el sistema
implementado por la AEPD no permite adjuntar archivos de voz, por lo que no se pudo
realizar el envío. Cuando se registró la respuesta a la AEPD, se informó de esta
circunstancia solicitando un canal alternativo para enviar este archivo. Queremos dejar
constancia de que MRG no ha recibido respuesta de la AEPD hasta el momento, por
lo que no se ha podido enviar este documento. Creemos que esta llamada aporta
información sobre cómo en las comunicaciones con MRG, la titular del contrato,
informa del correo de la usuaria ***EMAIL.2 como correo de comunicación con MRG.
La operadora consulta varios datos del expediente para identificar a la titular. Si la
persona que llama está haciendo un uso indebido de los datos, no puede atribuirse a
MRG esta responsabilidad, más aún cuando en nuestra opinión, esta situación viene
motivada por el incumplimiento de la titular en el cambio del contrato y permitir que
exista un titular diferente del consumidor. Se adjunta al presente escrito copia del
documento mediante el que se solicita a la AEPD un canal de comunicación
alternativo para este fichero de voz y una transcripción de la conversación contenida
en este fichero de voz.
En los FUNDAMENTOS DE DERECHO se dice que 'queda constatada la falta de
diligencia, en la acreditación de la identidad de la solicitante por parte de entidad
reclamada, ya que no requirió evidencias suficientes para la correcta identificación
como cliente. Así como, más adelante en al mismo apartado, dice. “falta de diligencia
en la adopción de medidas adecuadas que garanticen el cumplimiento del RGPD, en
este caso, en lo referente a te usurpación de las identidades de los clientes y al fraude
que ello puede dar lugar". El punto del RGPD por el que se propone sancionar a MRG
es el recogido en el Articulo 5.1.f) 1.Los datos personales serán: tratados de tal
manera que se garantice una seguridad adecuada de los datos personales, incluida la
protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/13
o daño accidental, mediante la aplicación de medidas técnicas, organizativas
apropiadas (integridad y confidencialidad).
A la vista de dicho artículo. entendemos que MRG debe tomar medidas para identificar
al solicitante dentro de las posibilidades existentes, como ha hecho en el presente
caso. pero que recaiga en MRG impedir de cualquier modo una usurpación de
identidad o evitar sus daños, cuando es la propia denunciante que incumple sus
obligaciones establecidas en la legislación (citada) sobre el suministro de gas natural y
facilita sus datos de identificación personales a terceros para que puedan usurpar su
identidad, consideramos que excede las previsiones del articulo mencionado. No
podemos estar de acuerdo en que MRG no ha tenido la diligencia debida para
acreditar la identificación del solicitante de información. Al contrario. se han solicitado
los datos identificativos necesarios para ver que la petición provenía del titular.
En los FUNDAMENTOS DE DERECHO se dice 'en el campo “remitente" del correo
electrónico de la solicitud aparecía otra persona distinta a la del titular del contrato. A
este respecto queremos aclarar que el nombre que aparece relacionado con una
dirección de correo, en ningún caso se puede tomar como un dato identificativo. El
cambiar ese nombre en la cuenta es trivial. simplemente con que el titular de una
cuenta edite su perfil puede poner el texto que prefiera, identificándose a sí mismo, a
un tercero, o con un texto cualquiera. Este cambio, además, se puede hacer en
cualquier momento. no solo cuando se diseñe la cuenta. De hecho, el nombre que se
visualiza en el correo es E.E.E., no D. B.B.B. ni Dª C.C.C.. Por lo tanto, el correo
electrónico, cuando su función es establecer un canal de comunicación, no puede ser
un dato a considerar para identificar al solicitante ya que no hay garantías de que
certifiquen ni su titularidad ni su uso por el interesado. Por lo tanto, las sospechas que
debiera haber despertado el correo de E.E.E., según la interpretación de la Propuesta
de Sanción, es un criterio poco objetivo.
También se debe tener en consideración, que las empresas distribuidoras y
comercializadoras de gas vienen obligadas por el Real Decreto 1434/2002 a mantener
un canal de telefónica a disposición de los clientes. La identificación por estos canales
se debe hacer contrastando datos identificativos, ya que en este momento no hay
tecnología para poder realizar una identificación más segura. Exigir otro tipo de
identificaciones (verificación de teléfonos, correos, claves) en este momento, por el
perfil del consumidor y los medios técnicos extendidos socialmente, llevaría consigo la
imposibilidad de prestar el servicio. Como ya explicamos en el escrito anterior, en la
Resolución de 12 de abril de 2011, de la Dirección General de Política Energética y
Minas, por la que se aprueba el procedimiento marco de contratación telefónica,
electrónica y telemática para el mercado de gas natural, el email no consta como uno
de los datos para identificar al titular, utilizándose nombre y DNI para identificar a la
persona. El canal de correo electrónico, en este sentido. es similar al telefónico. Se
puede comprobar que el remitente presenta los datos identificativos necesarios
(Nombre y DNI), pero otros, como por ejemplo el email, ya hemos comprobado que no
puede ser un dato identificativo por las nulas garantías que ofrece. Exigir que un titular
se dirigiera a MRG siempre desde el mismo correo sería tanto como obligar a que
siempre se llamara desde el mismo número de teléfono y que fuera el que tuviera
registrado la empresa distribuidora para poder atender al usuario. Queremos dejar
constancia de que MRG siempre ha actuado de buena fe, considerando que el
solicitante estaba debidamente identificado con los datos del titular (Nombre, Apellidos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/13
y DNI). Si el inquilino, u otra persona, ha hecho un mal uso de los datos del titular del
punto de suministro (datos que NO han sido facilitados por MRG), supuestamente
suplantándolo sin su autorización, Madrileña Red de Gas NO es, ni puede ser,
responsable por la actuación inadecuada y fuera de la legalidad de esta persona, y a
la que la reclamante, como titular del punto de suministro, ha tenido que facilitarle sus
datos de identificación (nombre, apellido y DNI).
Sin embargo, la reclamante no ha cumplido sus obligaciones de notificar a la
distribuidora el cambio de contrato al formalizar el alquiler, lo que deja a MRG en una
situación de indefensión ya que proporciona sus datos a un inquilino pero MRG no
puede conocer dicha situación. Conforme a la normativa expuesta resulta que MRG
Si solicito todos los datos de identificación del titular del punto de suministro para
garantizar una seguridad adecuada de los datos personales antes de facilitar la
información sobre el consumo; los datos del titular del punto de suministro (Nombre.
Apellidos y DNI), para comprobar la identidad de la peticionaria, de un modo que se
garantice una seguridad y confidencialidad adecuadas de los datos personales,
inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo
utilizado en el tratamiento, por lo que NO ha vulnerado el considerando (39) del
RGPD, ni ha incumplido ningún precepto del RGPD, ni incurrido en ninguna infracción
del RGPD, ni del artículo 5.1.f), ni de ningún otro, por lo que es improcedente
cualquier sanción.
Creemos también que debe tenerse en consideración que MRG tiene en este
momento 906.912 clientes activos, que en un alto porcentaje realizan gestiones. tanto
telefónicamente como por email. Sin embargo, este es el primer caso de una
reclamación por una identificación indebida del interesado. Esto creemos que avala
que los procedimientos seguidos, siempre susceptibles de error y mejora. son
adecuados y consiguen la identificación adecuada de los interesados. Por otra parte. y
habiéndose acreditado que, infringiendo la normativa expuesta, la reclamante
mantiene la titularidad del punto de suministro a su nombre, aunque se destina para el
uso de terceros, como por ejemplo la arrendataria, tampoco está acreditado que los
datos de consumo facilitados por la Distribuidora de gas MRG correspondan a la
reclamante o a cualquier otro tercero, por ejemplo, arrendatarios. que utilizasen el
Inmueble. Esta situación. por si sola, deja sin objeto alguno el presente expediente,
procediendo que se acuerde su archivo. 7) Respecto a los datos facilitados por MRG,
tal y como está acreditado en el expediente, SOLO están referidos al consumo de gas
natural en un periodo determinado para un punto de suministro determinado, sin
mayor detalle o información complementaria. por lo que no está acreditado que se
hayan revelado datos personales del titular no conocidos ya por el solicitante de la
información. 8) En el Procedimiento Sancionador, no se responde a la respuesta que
se dio a la consideración como agravante del hecho de no haber notificado de forma
proactiva la incidencia por parte de Madrileña Red de Gas. Insistimos a este respecto
que MRG no tuvo conocimiento de la situación hasta qua recibió la solicitud de
información de la AEPD, y que, en todo caso, Madrileña Red de Gas fue objeto de
engaño para conseguir dicha información. si es que realmente no la solicitó la
reclamante, ya que de otra forma no se hubiera enviado. 9) Por último, entendemos
que. en caso de mantenerse la Resolución de Sanción por no tenerse en cuenta los
argumentos de MRG, se debe considerar como atenuante el hecho que la titular del
contrato no haya cumplido con sus obligaciones de cambiar el titular en el momento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/13
de alquilar la vivienda, ya que esto crea los problemas de identificación que se ven en
este caso.
Este supuesto entendemos que se ajusta lo recogido en la LOPD en su Art 76.2 d) Art
76. Sanciones y medidas correctivas. 2. De acuerdo a lo previsto en el artículo 83.2.k)
del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: d) La posibilidad
de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
De cualquier modo, MRG va a estudiar si se puede reforzar la identificación del titular
del punto de suministro en las solicitudes de información. ampliando la información a
aportar por el solicitante sin violar su esfera íntima y personal. Por todo lo expuesto, y
NO habiendo vulnerado MRG el considerando (39) del RGPD, ni incumplido ningún
precepto del RGPD. ni incurrido en ninguna infracción del RGPD. ni del art 5.1.f), ni de
ningún otro, es improcedente cualquier sanción y se solicita a la AEPD que acuerde el
archivo del presente procedimiento sancionador”.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
De las actuaciones practicadas en el presente procedimiento, de la información y
documentación presentada por las partes, han quedado acreditados los siguientes:
1º En el contrato de arrendamiento presentado por la reclamante, se aprecia que el
mismo está celebrado el 16/09/17. La vivienda alquilada se encuentra en la
***DIRECCION.1. La propietaria de la misma es, Dª A.A.A. con DNI ***NIF.1 y los
arrendatarios son, D. B.B.B. y Dª C.C.C..
Se observa también que, en el punto vigésimo del contrato, de “Notificaciones”, se
indica como correo electrónico del arrendatario a efectos de notificaciones,
“***EMAIL.2” y número de teléfono ***TELEFONO.1.
2º Con fechas 4, 6, y 7 de abril de 2018, se envían tres correos electrónicos desde la
dirección: E.E.E., ***EMAIL.3 (correo de Apple utilizado cuando se utiliza un
dispositivo de esta compañía), a la dirección: atencion.usuarios@madrileña.es, con
asunto: “Historial de lecturas A.A.A.” y con el texto: “Buenas tardes, con DNI ***NIF.1,
solicito historial de consumo desde el 31/12/10 al 15/09/12. Enviado desde mi iPhone
5.
3º Con fecha 13/04/18 se envía un correo electrónico desde la dirección
atencion.usuarios@madrileña.es a la dirección E.E.E., ***EMAIL.3 con Asunto:
Historial de Lectura de A.A.A., y con el mensaje: “Gracias por contactar con Madrileña
Red de Gas. En atención a su solicitud de referencia ***REFERENCIA.1 detallamos
las lecturas solicitadas …”
A continuación, la información se divide en tres columnas: la primera columna indica la
“fecha de registro”, con 15 lecturas, que van desde el 31/12/10 al 08/11/12; En la
segunda columna se detalla el “consumo en metros cúbicos” y la tercera columna se
indica el “tipo de lectura”, si ha sido estimada, facilitada o real.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/13
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de LOPDGDD, la Directora de la Agencia
Española de Protección de Datos es competente para iniciar y para resolver este
procedimiento.
II
La valoración conjunta de la prueba documental obrante en el procedimiento trae a
conocimiento de la AEPD una visión de la actuación de la entidad reclamada, que ha
quedado reflejada en los hechos declarados probados.
No obstante, en el presente caso, respecto de las alegaciones presentadas por la
entidad reclamada a la propuesta de resolución, aclarar que, cuando en la propuesta
de resolución, en el apartado de “hechos probados”, se indica que, “de las actuaciones
practicadas en el presente procedimiento, de la información y documentación
presentada por las partes, han quedado acreditados los siguientes” … , se indica que
los hechos enumerados a continuación son afirmados como consecuencia de la
investigaciones practicadas por esta Agencia, y por la documentación aportada por las
partes. Son hechos que la Agencia toma como ciertos para realizar la propuesta de
resolución. Así, en el punto 1º de los hechos probados se ha constatado, a partir del
contrato de arrendamiento que, los inquilinos del inmueble en cuestión poseen como
correo electrónico ***EMAIL.2 (o cuenta “@icloud.com”, cuando se utiliza sistemas
operativos iOS o macOS, en dispositivos de la marca Apple). Dirección de correo
electrónico, desde la cual se pusieron en contacto con la entidad MRG para solicitar
datos de consumo de una tercera persona.
Respecto de la llamada trascrita por parte de la entidad MRG, indicar que ésta fue
realizada el 06/08/18 y fue para dar una lectura del contador. La misma entidad, en
escrito enviado a esta Agencia el 06/03/19, indica: “(…) consta en el sistema el
registro de un email recibido en el buzón atenció[email protected] , en Abril de
2018 solicitando información de consumo de un punto de suministro”. Concretamente,
dicha solicitud se refería al historial de lecturas de Dª A.A.A., indicando que el DNI del
solicitante era el ***NIF.1 (…). De todo ello se desprende que, la fecha en la que
ocurren los hechos del presente expediente (abril de 2018), son anteriores (3 meses),
a la llamada que alega la entidad. Se constata también que el teléfono indicado en la
llamada del 06/08/18 por parte de la persona que se pone en contacto con la entidad
MRG, no corresponde con el teléfono de la titular del suministro, sino con el numero de
la inquilina de la vivienda.
Cuando MRG afirma que: “(…) el correo electrónico, cuando su función es establecer
un canal de comunicación, no puede ser un dato a considerar para identificar al
solicitante ya que no hay garantías de que certifiquen ni su titularidad ni su uso por el
interesado”, está reconociendo con ello, una previsible brecha de seguridad en sus
sistemas, pues cualquier persona que se ponga en contacto con ellos a través de este
medio e indique que, es quién realmente no es, aportándoles una mínima
identificación, como por ejemplo en nombre o el DNI, la entidad MRG lo considera
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/13
como válido, demostrando con ello un claro síntoma de falta de diligencia en la
adopción de medidas adecuadas que garanticen que la persona que se pone en
contacto con ellos es quien dice ser y no otra persona.
Por todo ello, de la documentación obrante en el expediente ofrece indicios evidentes
de que el reclamado vulneró el artículo 5 del RGPD, principios relativos al tratamiento,
en relación con el artículo 5 de la LOPGDD, deber de confidencialidad, al revelar a un
tercero los datos personales de la reclamante a través de un correo electrónico
remitido por el reclamado.
La reclamante ha aportado el correo electrónico que le remitió un tercero en el que
figura un enlace que conduce a un resumen de compra de la reclamante, visualizando
dicho tercero sus datos, teniendo conocimiento de los hechos porque esa persona le
envió un correo explicando lo sucedido, indicando que su línea de teléfono está
asociada a los datos de la reclamante.
El deber de confidencialidad, con anterioridad deber de secreto, debe entenderse que
tiene como finalidad evitar que se realicen filtraciones de los datos no consentidas por
los titulares de los mismos.
Por tanto, ese deber de confidencialidad es una obligación que incumbe no sólo al
responsable y encargado del tratamiento sino a todo aquel que intervenga en cualquier
fase del tratamiento y complementaria del deber de secreto profesional.
En este sentido se pronunciaba la Audiencia Nacional en sentencia de 18/01/02, en
cuyo Fundamento de Derecho Segundo, señalaba: “El deber de secreto profesional
que incumbe a los responsables de ficheros automatizados, …, comporta que el
responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados
–en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su
contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después
de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el
responsable del mismo… Este deber de sigilo resulta esencial en las sociedades
actuales cada vez más complejas, en las que los avances de la técnica sitúan a la
persona en zonas de riesgo para la protección de derechos fundamentales, como la
intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la
CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la
intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que,
además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad
frente a las potenciales agresiones a la dignidad y a la libertad de la persona
provenientes de un uso ilegítimo del tratamiento mecanizado de datos (STC 292/2000)
…”
Por todo ello, queda constatada la falta de diligencia, en la acreditación de la identidad
de la solicitante por parte de entidad MRG, ya que no requirió evidencias suficientes
para la correcta identificación de la persona que se ponía en contacto con ellos.
III
Así las cosas, los hechos conocidos son constitutivos de una infracción, imputable al
reclamado, por vulneración El artículo 5.1.f) del RGPD establece que: “los datos
personales serán tratados tal manera que se garantice una seguridad adecuada,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/13
incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida,
destrucción o daño accidental, mediante la aplicación de medidas técnicas u
organizativas apropiadas”
Por su parte, y tras las evidencias obtenidas en la fase de investigaciones previas y a
lo largo de la instrucción del procedimiento, procede en este caso atender a lo
estipulado en el artículo 83.2 del RGPD, a efectos de fijar el importe de la sanción a
imponer en el presente caso:
a).- Como criterios agravantes:
- La forma en que la autoridad de control tuvo conocimiento de la infracción. Al
tener conocimiento a partir de la reclamación, (apartado h).
b).- Como criterios atenuantes:
- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como, el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (apartado a).
- La no intencionalidad en la infracción, (apartado b).
- No existe infracción anterior cometida por el responsable o el encargado del
tratamiento (aparado e).
- Las categorías de los datos afectados por la infracción, (apartado g).
- La no existencia de beneficios financieros obtenidos a través de la infracción
(apartado k).
Por otra parte, se considera que procede graduar la sanción a imponer de acuerdo con
los siguientes criterios que establece el artículo 76.2 de la LOPDGDD. Como criterios
agravantes:
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales, (apartado b).
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida, al vulnerar lo establecido en su artículo 5.1.f),
permite fijar una sanción de 12.000 (doce mil euros), considerada como “muy grave”, a
efectos de prescripción de la misma, en el 72.1.a) de la LOPDGDD.
Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia
Española de Protección de Datos
RESUELVE:
PRIMERO: IMPONER a la entidad MADRILEÑA RED DE GAS una sanción de 12.000
euros (doce mil euros), por la infracción del artículo 5.1.f) del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/13
SEGUNDO: NOTIFICAR la presente resolución a la entidad MADRILEÑA RED DE
GAS. y, conforme al art. 77.2 del RGPD, INFORMAR al reclamante sobre el resultado
de la reclamación.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva
una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el
artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el
artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto
939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000
0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco
CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período
ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la
redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas
fiscales, administrativas y del orden social, la presente Resolución se hará pública, una
vez haya sido notificada a los interesados. La publicación se realizará conforme a lo
previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de
Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo
dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el
Real Decreto 1720/2007, de 21 diciembre.
Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD),
y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de
1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución, o, directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del
referido texto legal.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/13
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/],
o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es