Una web desvela las identidades a través de los números de teléfono

Con sólo introducir el número de teléfono fijo en una página web se puede saber el nombre del titular de la línea, su dirección y hasta su cuenta en Facebook. Es como las viejas páginas blancas pero al revés. La empresa, llamada ABC Teléfonos, ofrece incluso la posibilidad de enviar mensajes al localizado o editar su información.

Esta práctica, denominada búsqueda inversa, está prohibida por la ley española. Sin embargo, otros servicios, como los buscadores de multas, no violan la normativa en vigor ya que hacen lo mismo que Google, rastrear la información disponible en fuentes públicas.

La CE y EEUU alcanzan un acuerdo para la transferencia de datos de pasajeros aéreos

La CE y EEUU han cerrado un nuevo acuerdo de datos de pasajeros aéreos en la lucha antiterrorista que sustituirá al actual y que mejorará la protección de la privacidad de los ciudadanos.

La información que las aerolíneas europeas remiten a EEUU va desde el número de asiento, hasta el itinerario, el modo de pago del billete o información sobre el equipaje.

El acuerdo marco de protección de datos adoptado por los Veintisiete en 2010 prohíbe que se pueda incluir información "sensible", como la orientación sexual o la religión (a través, por ejemplo, de la opción de menú a bordo).

Además, de la información transferida deben borrarse seis meses después los nombres de los pasajeros, de forma que los datos retenidos permanezcan anónimos salvo que haya una petición judicial.

Se perseguirá la revelación de esos datos cuando se haya hecho sin autorización y los europeos tendrán derecho a denunciar abusos o correctivos a la justicia estadounidense, detalló el portavoz.

La industria musical no podrá espiar a los internautas

Promusicae, entidad que engloba a las principales discográficas en España, no podrá usar un programa espía para grabar las direcciones de los usuarios de redes P2P. La Audiencia Nacional ha sentenciado que esta información es un dato personal a proteger y rechaza que para proteger el derecho a la propiedad intelectual haya que vulnerar el derecho a la privacidad.

La patronal musical había ideado un sistema para reunir las direcciones IP (número que dan las operadoras a cada usuario cuando se conecta a internet) de aquellos internautas que se descargaran archivos musicales desde las redes P2P, como eMule o BitTorrent.Un programa llamado Dtec Net P2P Agent se infiltraba en estas redes y podía registrar quiénes estaban compartiendo archivos de una lista confeccionada por Promusicae. Una vez obtenidas las IP, pretendían presentar demandas contra las operadoras para que los jueces las obligaran a cortar la conexión a los que descargaran de forma masiva.

Pero, al recopilar esa información, estarían haciendo un tratamiento de datos personales, protegidos por la Ley Orgánica de Protección de Datos (LOPD). En España, es la Agencia Española de Protección de Datos la que supervisa el cumplimiento de esta ley. Por eso, a comienzos de 2009, Promusicae pidió que se le aplicara una excepción a la norma. Esta establece que aquel que quiera hacer un tratamiento de datos personales debe informar previamente a esa persona de que se recaban los datos, de quién es el responsable de esa recogida y para qué los va a utilizar.

"También tendría que pedir el consentimiento de cada usuario P2P, algo inviable, evidentemente", dice el director de la firma ePrivacidad, entidad dedicada a la protección de la privacidad en internet, Samuel Parra. Sólo en determinados supuestos puede soslayarse esta obligación. Las discográficas querían que la AEPD las eximiera de este requisito, pero la agencia falló en su contra el 2 de julio de 2009.

Promusicae presentó entonces un recurso contencioso administrativo ante la Audiencia Nacional buscando la misma dispensa. Sin embargo, el tribunal ha vuelto a decir que no. La sentencia, fallada en septiembre, recuerda que sólo se pueden recopilar datos personales sin conocimiento de los afectados en una serie de supuestos concretos y, "obviamente, ninguna de las circunstancias que prevé el artículo 5.5 de la LOPD concurre en el caso presente...", dice el escrito.

Promusicae lo intentó de varias formas. Negó que las direcciones IP sean un dato personal. Intentó que los jueces aceptaran que había un consentimiento tácito, que consideraran que procedían de fuentes accesibles al público...Ninguno de sus razonamientos ha sido aceptado por la Audiencia Nacional.

Aunque sólo se trata de un número, las operadoras pueden, a partir de él, identificar al titular de la línea telefónica a la que fue asignado. La ley las obliga a conservar esta información para la ulterior investigación de delitos. Pero "sólo pueden revelar esa conexión a los jueces, previa autorización judicial, y sólo para delitos graves", recuerda el abogado especializado en propiedad intelectual, David Maeztu. El plan de Promusicae era presentar demandas civiles contra las operadoras, un procedimiento que, para Maeztu, escapa de la tipificación penal.

Tanto la AEPD como la Audiencia Nacional reiteraron que las direcciones IP son un dato personal, puesto que permiten la identificación y, por tanto, sometido a las mismas garantías que cualquier otro dato personal. Esa era también la opinión de las operadoras personadas también en el caso: Telefónica de España, France Telecom España (Orange) y Cableeuropa (ONO). Sostenían además que, aunque quisieran, no podrían revelar quién está detrás de una dirección IP a Promusicae sin cometer un delito. "No se entiende que hayan intentado esta vía cuando todos están de acuerdo en que las IP son datos personales que hay que proteger", opina Maeztu. "No se quién les habrá dicho que podían tener alguna posibilidad de ganar", añade.

Quizá el golpe más duro a la posición de Promusicae es cuando la Audiencia Nacional sostiene: "La protección de los derechos de propiedad intelectual, que está en la base de lo pretendido por la entidad recurrente, merece todo el respeto de esta Sala, pero no puede hacerse sobre la base de violar derechos, que también merecen protección, como son los derivados de la protección de datos".

Como opina Parra al respecto: " Cuando hay dos derechos en juego, hay que ponderar. Uno debe prevalecer y, aquí, tanto la AEPD como la Audiencia Nacional han considerado que prima el derecho a la protección de datos y el acceso a internet sobre el de propiedad intelectual".

Para Antonio Guisasola, presidente de Promusicae, la noticia no es buena. "Es una decisión desfavorable y creemos que desproporcionada y por eso ya se ha recurrido", dice. "Lo que la sentencia dice es que, debiendo protegerse la propiedad intelectual, esto no puede ir en demérito de la protección de datos. Pero esa decisión lo que hace en la práctica es primar la protección de unos supuestos datos de carácter personal frente a la protección de quienes ven sus derechos de propiedad expoliados por aquellos que la AEPD prefiere que sigan siendo anónimos para que su actividad ilegal quede impune", añade. En su opinión, las direcciones IP no son datos personales: "Una dirección IP, normalmente dinámica, sin otro vinculo de ningún tipo, es evidente que no sirve para identificar a nadie por sí misma, y eso lo olvida el tribunal".

Segundo revés

Este revés es el segundo que recibe la posición de Promusicae. En 2005, intentó que Telefónica le revelara la identidad de algunos usuarios de redes P2P ante el juzgado. El caso, que acabó en el Tribunal de Justicia de la Unión Europea, se resolvió en 2008, negando aquella instancia la obligación de los operadores de identificar quién está detrás de una IP. Pero también dijo, como recuerda Guisasola, que tiene que haber un equilibrio entre la protección de la privacidad y de la propiedad intelectual frente a quienes la vulneran. "La interpretación de la AEPD, que ahora confirma el tribunal, desde luego supone romper completamente este equilibrio", afirma.

Cerrada la opción de ir tanto directamente como indirectamente contra los que descargan material sujetos a derechos de autor, Guisasola no se rinde. "A lo que no podemos renunciar es a que en internet se respeten las mismas leyes que en el mundo físico, y coger un contenido protegido y ponerlo a disposición de miles de usuarios a través de una red de P2P es ilegal en España y en toda la UE", defiende.

Tampoco confía del todo en la llamada ley Sinde. Todo indica que no llegará en esta legislatura. Además, las páginas de enlaces que serán objeto de la norma contienen fundamentalmente películas y series. La música, el negociado de Guisasola, está más en las redes P2P y "la ley olvida una parte muy importante del problema, como es la piratería a través de estas redes. Las soluciones parciales sólo pueden aspirar a resolver parcialmente los problemas, cosa que, en el mejor de los casos, es lo que pasará con esta ley", mantiene.

La Agencia de Protección de Datos abre una investigación a BuyVip

La Agencia Española de Protección de Datos (AEPD) ha iniciado de oficio actuaciones previas de investigación a la tienda online BuyVip por una posible acceso no autorizado a datos personales de sus clientes, según ha informado el organismo.

   La decisión de la AEPD se produce después de que la tienda online propiedad de Amazon enviara una notificación a sus clientes en los que se les advertía de que algunos datos personales se habían visto comprometidos debido a un acceso no autorizado a datos como nombres, direcciones o direcciones de correo electrónico. Los datos bancarios no habrían sido afectados.

   A raíz de las informaciones publicadas en diversos medios de comunicación relativas a estos accesos no autorizado, la AEPD ha iniciado actuaciones para averiguar si se ha producido una vulneración de las previsiones de la Ley de Protección de Datos en materia de seguridad y, en su caso, determinar las responsabilidades atribuibles.

   BuyVip es una comunidad de compras por Internet de artículos de moda y estilo de vida con más de seis millones de usuarios registrados en países como España, Alemania e Italia que ofrece a sus clientes descuentos de las principales marcas de moda y tendencias.

UNA TESIS DE LA UNIVERSIDAD DEL PAÍS VASCO CRITICA EL DERECHO DE LA PROTECCIÓN DE DATOS SANITARIOS POR ESTAR "DETRÁS DE LA REALIDAD"

Imagine que su hijo de 14 años acude al médico y en pleno acto de rebeldía adolescente se niega a decirle por qué motivo ha acudido a la consulta. Aunque usted mismo se presente a la mañana siguiente donde el facultativo para solicitar la información, no tiene derecho a saber nada del asunto allí tratado, a no ser que presente la firma del menor. Lo contrario supondría una cesión de datos inconsentida, considerada como una infracción muy grave, que equivaldría a una sanción de entre 300.000 a 600.000 euros, ya que las personas a partir de esa edad se consideran, a efectos de la protección de datos, como adultos.

El allanamiento de la intimidad, como el de una morada, solo puede justificarse por derechos superiores de otros, tales como que de la revelación del secreto médico se extraiga un beneficio para personas indefensas. Este caso sería el de, por ejemplo, revelar que una prostituta con el VIH no usa protección alguna con sus clientes infectando a todo aquel que mantenga relaciones con ella. Pero sería una excepción a la confidencialidad de los datos sanitarios, ya que si ésta se vulnera, no solo está en peligro la intimidad, sino el ejercicio de otros derechos fundamentales, como el de la educación o el del trabajo. Precisamente, la pregunta "¿Qué consecuencias sociolaborales tendría para un paciente la filtración de que un paciente es seropositivo?" sirve de punto de partida para la tesis Los principios de la protección de datos aplicados a la sanidad, del jurista de la Universidad del País Vasco UPV/EHU Unai Aberasturi.

La respuesta a esta cuestión para Aberasturi no puede ser más fácil: es vital que la información sanitaria no se use para ninguna discriminación, por lo que hay que regular la protección de datos médicos. A estos resultados llega tras estudiar lo que dice la Ley Orgánica de Protección de Datos (LOPD) sobre este ámbito, llegando a la conclusión de que, habitualmente, el derecho de confidencialidad va por detrás de la realidad. Se deja en manos de la interpretación, de ahí que el investigador advierta de la inseguridad jurídica respecto a esta materia, y recalque la necesidad de una normativa concreta que regule los datos sanitarios.

Aun así, Aberasturi puntualiza que la LOPD otorga una protección especial a los datos de salud (artículo 7), por lo que les reconoce una salvaguarda más estricta. Bajo este régimen, se deben respetar ciertos principios, como el de finalidad, según el cual los datos no podrán emplearse para un fin distinto al que motivó su recogida. Aberasturi critica que se debería especificar a qué objetivo de todos los posibles en el sector sanitario (asistencia, investigación, entre otros) responde dicha recogida. En cuanto al principio de pertinencia, el autor de la tesis considera conveniente no recabar más datos de los necesarios, ya que el investigador suele creer que, ante la duda, es mejor que sobre información a que le falte, ya que si no podría ser perjudicial para la salud. Otra cuestión a controlar es el principio de veracidad, que implica cancelar los datos del pasado a medida que se actualizan.

LOS PERSONALES Aberasturi también opina que algunos derechos de las personas resultan conflictivos en el ámbito sanitario. Por ejemplo, el de rectificación: "Los datos sanitarios son difíciles de comprender para el ciudadano de a pie, por lo que su titular no debería corregirlos unilateralmente". El autor entiende que se trata de una labor fundamental, pero que debe llevarse a cabo en colaboración con los profesionales sanitarios. También cree que hay que mirar más con lupa el derecho de cancelación porque choca con la normativa sanitaria, que obliga a conservar la documentación clínica durante cierto tiempo. Como solución, en este caso, se debe garantizar que solo se guarden los estrictamente necesarios y que se disocia la información en la medida de lo posible.

El paciente también tiene el derecho de ser informado de un modo que pueda comprender acerca del responsable, destino y uso de sus datos personales. Pero también a que se le brinde toda la información sobre el diagnóstico, tratamiento y pronóstico de su enfermedad en un lenguaje sencillo. Además de ello, hay que darle la posibilidad de participar en las decisiones relacionadas con su tratamiento e incluso de negarse a él, después de que su doctor le explique los pros y los contras de someterse al mismo.

Comunidades de Propietarios y Proteccion de Datos

Respecto a la Protección de Datos Personales, a pesar de que su conocimiento es cada vez más generalizado (o quizá por ello), existe la percepción de que todo ese cúmulo de farragosas y tediosas obligaciones a las que compele la normativa solo atañen a empresas y organismos públicos, y que en nada “perturban” al ciudadano raso en su rutina diaria, más allá del eventual ejercicio de sus derechos ante aquellos responsables que hagan uso de sus datos. Parece que nunca nos vamos a enfrentar a ello y que todo nos toca de lejos, salvo que nos adentremos en el proceloso mundo empresarial e iniciemos ese deporte de riesgo que es crear una empresa.

Esto es así mayoritariamente, pero podemos encontrarnos en el caso de tener la fortuna de ser nombrados Presidente de nuestra Comunidad de Vecinos, y que ésta no esté adecuada a la normativa en materia de protección de datos personales, hipótesis nada desdeñable.

Aunque este problema se suele dejar en manos del Administrador, hay Comunidades de Propietarios pequeñas en las que no existe esta figura, y las cuales por supuesto también tienen la obligación de cumplir la LOPD.

Así que tanto para aquellos Presidentes de Comunidad accidentales como para Administradores de Fincas no duchos en esta materia, pasamos a exponer las principales cuestiones que plantea adecuar las Comunidades de Propietarios (en adelante CP) a la Protección de Datos en España.

Como hemos advertido, las CP están obligadas a cumplir con la legislación en materia de Protección de Datos, pues tratan datos personales – como mínimo de los propietarios de las viviendas -, y además pueden contratar con proveedores, prestadores de servicios, incorporar cámaras de videovigilancia, etc.

La AEPD ha impuesto no pocas sanciones a CP, precisamente por el desconocimiento general de la normativa, y la asimilación de usos y costumbres que atentan contra la ley pero que están ciertamente arraigados.

Cuando la Comunidad contrata los servicios de un Administrador de Fincas, éste (salvo excepciones) será Encargado de Tratamiento (tercero con acceso a datos) de los datos personales por cuenta del Responsable de Tratamiento, la CP. Esta relación debe figurar en un contrato (con independencia del contrato mercantil de prestación de servicios), que ha de contener las cláusulas establecidas en el artículo 12 de la LOPD. Se trata de un aspecto fundamental y prioritario a la hora de conseguir una correcta adecuación a la Ley, y sobre todo para delimitar responsabilidades y evitar posibles sanciones por actuaciones de terceros.

Una vez aclarados estos dos puntos, vamos a señalar las principales controversias que se plantean en la práctica, y las soluciones legales a las mismas:

Utilización de los datos personales de la CP para actividades de prospección comercial de empresas que trabajan principalmente con comunidades de propietarios.

Aquí se estarían tratando los datos personales de los propietarios con una finalidad distinta para la que fueron recabados, y comunicándose a terceros dichos datos, por lo que en ambos casos se requeriría el consentimiento de los afectados, que de no producirse podría constituir una infracción muy grave, sancionada hasta con 600.000 €.

En principio la multa recaería sobre la CP, como Responsable del Tratamiento, pero si se cuenta con los servicios de un Administrador de fincas, y está firmado el preceptivo contrato de acceso de datos por cuenta de terceros citado anteriormente, la responsabilidad podría afectar a dicho Administrador si queda acreditada la existencia de un incumplimiento del contrato en el tratamiento y utilización de los datos, resultando la CP eximida de tal responsabilidad.

Publicación de datos de propietarios morosos en el tablón anuncios de la comunidad.

Es éste un supuesto bastante habitual sobre el que se ha pronunciado la AEPD en varias ocasiones. Siempre que se produzca esa publicación, habría una comunicación de datos personales, esto es, una revelación a persona distinta del interesado, la cual requiere el consentimiento del afectado, si bien será posible la cesión no consentida de los datos en caso de que la misma se encuentre fundamentada en lo establecido por una norma con rango de Ley (artículo 11.2.a LOPD).

Así lo manifiesta la Agencia en su Informe Jurídico 0548/2009, que entiende que este supuesto se encuentra amparado por la Ley de Propiedad Horizontal, que en su artículo 16.2 establece que la convocatoria de la Junta de Propietarios “contendrá una relación de los propietarios que no estén al corriente en el pago de las deudas vencidas a la comunidad y advertirá de la privación del derecho de voto si se dan los supuestos previstos en el artículo 15.2”, lo que conlleva necesariamente el conocimiento de aquellos propietarios deudores, sin necesidad de recabar el consentimiento de los mismos.

Además, el artículo 9.1 h) señala la obligación de los propietarios de comunicar “el domicilio en España a efectos de citaciones y notificaciones de toda índole relacionadas con la comunidad (…) Si intentada una citación o notificación al propietario fuese imposible practicarla en el lugar prevenido en el párrafo anterior, se entenderá realizada mediante la colocación de la comunicación correspondiente en el tablón de anuncios de la comunidad, o en lugar visible de uso general habilitado al efecto”.
En consecuencia, siempre que la publicación obedezca al hecho de que la convocatoria de la Junta no haya podido ser notificada a alguno de los propietarios en su domicilio, la cesión que implica la publicación de la convocatoria en el tablón de anuncios se encontrará amparada por el artículo 11.2.a) de la LOPD.

Cesión de datos a vecinos por la Comunidad de propietarios para el control de gestión de las cuentas

La AEPD sigue el criterio indicado en el apartado anterior, y en su Informe 2009/0333 afirma que estaríamos ante otro caso de cesión de datos sin el consentimiento del interesado pero amparado por la Ley, y por tanto que excepciona la prestación del consentimiento, de acuerdo al artículo 11.2.a) de la LOPD. En esta ocasión, el precepto legal es el artículo 20 de la citada LPH, que enumera entre las obligaciones del Administrador las de “actuar, en su caso, como secretario de la Junta y custodiar a disposición de los titulares la documentación de la comunidad”.

Por tanto, la Ley establece que la documentación de la comunidad estará “a disposición” de los titulares, siendo lícita la transmisión de los datos cuando la finalidad que justifique la comunicación de dicha documentación a los propietarios solicitantes se encuentre amparada por la Ley de Propiedad Horizontal.

En definitiva, las obligaciones que impone la LOPD y su Reglamento son de plena aplicación para las CP, que tienen la necesidad de adaptarse a las mismas de forma imperiosa, pues por la naturaleza de la actividad que desarrollan se encuentran expuestas permanentemente a situaciones de riesgo que pueden dar lugar a gravosas sanciones, que con una correcta adecuación a la Ley y la asunción de una serie de pautas disminuirían considerablemente.

La cancelación de los datos personales no impide la utilización de éstos para reclamar deudas vencidas

La Sala anula la sanción impuesta a Endesa, pues, en contra de lo que entendió la Agencia Española de Protección de Datos, sí atendió a la solicitud del interesado de la cancelación de los datos personales que constaban en sus ficheros, considerando correcta la reclamación posterior a dicha cancelación de una deuda derivada de la previa relación contractual entre las partes. Al respecto señala la Sala que el hecho de que Endesa al acceder al derecho de cancelación no especificase que la misma sólo produciría efectos “pro futuro”, no puede ser interpretado como la imposibilidad de utilizar los datos del interesado para reclamarle deudas vencidas y exigibles correspondientes al periodo en que la relación comercial entre ambos subsistía, pues resultaría contrario a los principios inspiradores del derecho administrativo sancionador que la conducta lícita y legal de la actora dejase de serlo porque accedió a la petición de cancelación sin especificar que ello no impedía la posibilidad de reclamar las deudas pendientes.

AUDIENCIA NACIONAL

Sala de lo Contencioso-Administrativo

Sentencia de 29 de abril de 2011

RECURSO Núm: 211/2010

Ponente Excmo. Sr. DIEGO CORDOBA CASTROVERDE

SENTENCIA

Madrid, a veintinueve de abril de dos mil once.

Vistos por la Sala, constituida por los Sres. Magistrados relacionados al margen, los autos del presente recurso contencioso-administrativo número 211/2010, interpuesto por el procurador de los Tribunales don Iñigo Muñoz Duran, actuando en nombre y representación de la entidad Endesa Energía SA Unipersonal, contra la resolución de fecha 17 de noviembre de 2009, confirmada

en reposición por resolución de 25 de enero de 2010, dictadas por el Director de la Agencia Española de Protección de Datos por la que se impuso una sanción de 6000 E por una infracción del art. 16 de la LOPD tipificada como leve en el art. 44.2.a) de dicha norma. Ha sido parte la Administración del Estado, asistida y representada por el Abogado del Estado.

ANTECEDENTES DE HECHO

PRIMERO. Interpuesto el presente recurso y previos los oportunos trámites, se confirió traslado a la parte actora por término de veinte días para formalizar la demanda, lo que verificó por escrito presentado el 5 de julio de 2010 en el que tras exponer los hechos y fundamentos de derecho que estimó pertinentes, solicita sentencia estimatoria del recurso por la que se anule la resolución recurrida.

SEGUNDO. La Administración demandada, una vez conferido el tramite pertinente para contestar la demanda, presentó escrito en el que alegó los hechos y fundamentos de derecho que estimó pertinentes, solicitando una sentencia en la que se declare la conformidad a derecho de las resoluciones impugnadas.

TERCERO. Tras la práctica de las pruebas que se consideraron pertinentes, con el resultado obrante en las actuaciones, y no estimándose necesaria la celebración de vista pública, se confirió traslado a las partes por termino de diez días para la formulación de conclusiones. Presentados los oportunos escritos quedaron las actuaciones pendientes de señalamiento para votación y fallo, fijándose al efecto el día 27 de abril de 2011, fecha en que tuvo lugar la deliberación y votación.

Siendo PONENTE el Magistrado ILMO. SR. D. DIEGO CORDOBA CASTROVERDE.

FUNDAMENTOS JURIDICOS

PRIMERO. El presente recurso tiene por objeto la resolución de fecha 17 de noviembre de 2009, confirmada en reposición 25 de enero de 2010, dictadas por el Director de la Agencia Española de Protección de Datos por las que se impuso la entidad recurrente una sanción de 6000 E por una infracción del art. 16 de la LOPD tipificada como leve en el art. 44.2.a) de dicha norma.

De los datos obrantes en el expediente, así como de las alegaciones formuladas por las partes y pruebas practicadas en el curso de las presentes actuaciones, resultan probados los siguientes hechos con relevancia para dictar la resolución que nos ocupa:

- D. Jesús Luis contrató a finales del año 2005 el suministro de energía eléctrica y de gas natural con la entidad Endesa Energía al considerar que su oferta era más ventajosa que la tenía con la entidad Gas Natural, básicamente por el ahorro que suponía la exención del canon IRC.

- El 2 de abril 2008 se le giró una factura por importe de 108,91 E por el concepto "repercusión canon IRC distribuidora".

- Mediante escrito de fecha 22 de julio de 2008 el Sr. Jesús Luis remitió al entidad Endesa Energía una petición de cancelación de sus datos, indicando que estos no podrían ser cedidos a persona o entidad alguna y que se procediera a acordar la cancelación de los datos personales obrantes en los archivos de dicha empresa o cualquiera otra vinculada a la misma.

- Endesa contestó a esta solicitud el 30 de julio de 2008 comunicándoles que como respuesta a su solicitud de cancelación u oposición a la cesión y el tratamiento de datos a otras empresas "me complace comunicarle que ambas solicitudes han sido atendidas de acuerdo con sus indicaciones. La cancelación dará lugar a la supresión o, en su caso, al bloqueo de datos, conservándose únicamente aquellos que por obligación legal deban mantenerse a disposición de las Administraciones Públicas, Jueces y tribunales para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de estas".

- El Sr. Jesús Luis recibió comunicación del Registro Sectorial de Morosidad de la Asociación Española de la Industria Eléctrica (UNESA) fechado el 4 de febrero de 2009 en el que se le informaba que en esa fecha "ha sido incluido, a instancias de la compañía comercializadora Endesa Energía SAU, en el Registro de Morosidad en el sector de la Comercialización de electricidad y Gas (RSM) detallándose que los datos de impago se refieren a una deuda de gas por importe de 141,17 E con fecha de vencimiento de 2 de junio de 2008.

SEGUNDO. La entidad recurrente funda su recurso en los siguientes motivos de impugnación:

1.º Vulneración del principio de legalidad. Inadecuación de procedimiento. Vulneración del principio de confianza legítima y de la doctrina de los actos propios.

Considera que la Administración demandada no ha iniciado el procedimiento legalmente previsto para garantizar la atención de los derechos de oposición y cancelación sino que prescindiendo del procedimiento legalmente establecido ha acordado incoar un expediente sancionador, por lo que se ha prescindido del procedimiento previsto en los artículos 117 y ss del Real Decreto 1720/2007 contraviniendo el principio de legalidad, falta de motivación y vulneración de confianza legítima y la doctrina de los actos propios. Todo ello por entender que frente a la reclamación del Sr. Jesús Luis la Administración debería haber iniciado un procedimiento de tutela de derechos de oposición y cancelación para que Endesa atendiese adecuadamente los derechos del denunciante.

2.º Vulneración del principio de antijuricidad y tipicidad.

Considera que cuando el denunciante ejercitó su derecho de cancelación de datos personales la entidad atendió a su solicitud y procedió a evitar el tratamiento de sus datos con fines comerciales y cesión de sus datos y que únicamente le reclamó la deuda porque le devolvió una factura al existir obligaciones pendientes de pago derivadas del contrato de suministro cuando este estaba vigente a tenor de lo establecido en el art. 33.1 del Real Decreto 1720/2007 en el que se afirma la posibilidad de la denegación del derecho de rectificación y cancelación cuando los datos personales deban conservarse en base a las relaciones contractuales de las partes.

3.º Vulneración de los principios de culpabilidad y proporcionalidad.

No es posible apreciar en la conducta desplegada por la entidad dolo o culpa alguna por cuanto procedió a contestar al reclamante en el plazo legalmente establecido aunque, al venir devuelta la factura del banco, no fuese procedente la cancelación de sus datos, por lo que no existe en su conducta elemento subjetivo que le haga merecedor de reproche jurídico alguno. Lo único que se ha producido es un error en la contestación al Sr. Jesús Luis puesto que no era procedente cancelar sus datos en relación con las deudas que tenía este pendientes durante la vigencia de su relación contractual.

4.º Falta de motivación en la graduación de la sanción aplicable.

La sanción impuesta vulnera los principios de motivación y proporcionalidad sin justificar las circunstancias la imposición de una multa por importe superior al límite mínimo previsto para las infracciones leves, por lo que de proceder la imposición de alguna sanción en ningún caso esta podría ser superior a los 601,01 E.

TERCERO. Un primer bloque argumental hace referencia a la inadecuación del procedimiento seguido por la Administración para enjuiciar el supuesto que nos ocupa. Esta alegación se sustenta en la afirmación de que se debería haber tramitado un procedimiento destinado a la tutela de los derechos del denunciante pero no un procedimiento sancionador contra dicha entidad. Alegación a la que anuda diferentes vulneraciones referidas al principio de legalidad, inadecuación de procedimiento, vulneración del principio de confianza legítima y de la doctrina de los actos propios.

No puede acogerse este motivo de impugnación, pues el denunciante acudió a la Agencia de Protección de Datos instando la iniciación de un procedimiento sancionador contra Endesa por entender que la citada entidad después de haber admitido y acogido su derecho de oposición y cancelación siguió tratando y cedió a un tercero (Registro sectorial de morosidad) sus datos personales por lo que consideraba que la conducta descrita podía constituir una infracción prevista y sancionada en la Ley de Protección de Datos.

La Agencia Española de Protección de datos consideró que Endesa con su conducta pudo incurrir en una infracción leve tipificada en el art. 44.2.a) de la LOPD "No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento cuando legalmente proceda" y tras instruir el correspondiente procedimiento sancionador la consideró responsable de la infracción descrita y le impuso una sanción de 6000 E.

La denuncia presentada por el afectado ante la Agencia de Protección de Datos contra Endesa no pretendía la tutela del derecho respecto a la falta de respuesta o negativa a proceder a la cancelación solicitada, pues la respuesta dada por la compañía Endesa satisfacía su petición de cancelación. El problema se centraba en determinar si pese al reconocimiento formal del derecho de cancelación del afectado, el tratamiento posterior de sus datos por parte de la citada entidad la hizo incurrir en alguna infracción de la LOPD, por lo que el cauce adecuado para depurar la pretendida responsabilidad de la compañía era el procedimiento sancionador seguido al efecto. Queda al margen de esta consideración si los hechos origen de estas actuaciones integran o no el tipo infractor por el que fue sancionada, cuestión que abordaremos a continuación.

CUARTO. La recurrente, en un segundo bloque argumental, impugna la sanción impuesta al considerar que la conducta descrita no constituye infracción alguna. Y ello al entender que cuando el denunciante ejercitó su derecho de cancelación la entidad atendió a su solicitud y procedió a evitar el tratamiento de sus datos con fines comerciales y cesión de sus datos y que únicamente le reclamó la deuda porque le devolvió una factura al existir obligaciones pendientes de pago derivadas del contrato de suministro cuando este estaba vigente. Y al mismo tiempo considera que se vulnera el principios de culpabilidad pues no es posible apreciar en la conducta desplegada por la entidad dolo o culpa alguna dado que contestó al reclamante en el plazo legalmente establecido aunque, al venir devuelta la factura del banco, no fuese procedente la cancelación de sus datos, por lo que no existe en su conducta elemento subjetivo que le haga merecedor de reproche jurídico alguno. Lo único que se ha producido es un error en la contestación al Sr. Jesús Luis puesto que no era procedente cancelar sus datos en relación con las deudas que tenía este pendientes durante la vigencia de su relación contractual.

La resolución administrativa considera infringido el art. 44.2.a) de la LOPD ) tipifica como infracción leve "No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento cuando legalmente proceda". Y para llegar a esta conclusión parte de una afirmación previa consistente en que "la relación contractual entre las partes, suministro de gas natural, exigía el uso de los datos personales del denunciante hasta que la relación hubiera concluido" y tras considerar que la relación contractual no había concluido afirma "En consecuencia, el uso de los datos personales del denunciante era necesario y la cancelación de los mismos no era procedente mientras esa relación no hubiera concluido".

En definitiva, considera que el tratamiento de los datos personales del denunciante, habida cuenta de la existencia de una relación contractual vigente y de la posible existencia de una deuda pendiente, era posible por lo que la compañía suministradora no estaba obligada a cancelar sus datos ni le estaba vedado poder seguir tratándolos para exigir el pago de las deudas que la relación contractual entre ambos había generado.

Pese a ello considera, que "La respuesta a la solicitud de cancelación debió de dejar bien claro que por ese motivo la cancelación debía de ser denegada. Al no hacerlo así estamos ante un supuesto de no atención -por motivos formales- de una solicitud de cancelación en los términos establecidos en el precepto citado".

Las conclusiones alcanzadas por la Agencia de Protección de datos, a la vista de estos razonamientos, resultan sorprendentes y no pueden ser compartidas. La entidad Endesa cuando fue requerida por el interesado para que cancelará los datos personales del afectado que constaban en sus ficheros no desatendió, ni por motivos formales ni de fondo, la solicitud del interesado, antes al contrario, contestó de forma expresa y por escrito al afectado haciéndole saber que accedía a su petición en los siguientes términos: "me complace comunicarle que ambas solicitudes han sido atendidas de acuerdo con sus indicaciones. La cancelación dará lugar a la supresión o, en su caso, al bloqueo de datos, conservándose únicamente aquellos que por obligación legal deban mantenerse a disposición de las Administraciones Públicas, Jueces y tribunales para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de estas". Es por ello que no puede sostenerse, tal y como afirma la resolución administrativa impugnada, que la entidad sancionada incumpliera el deber de atender la solicitud de rectificación o cancelación de datos instada por el interesado, y consecuentemente, no se alcanzan a comprender las razones que llevan a la Agencia Protección de Datos a considerar infringido el tipo por el que se le sanciona.

El problema que se plantea es otro bien distinto. La entidad recurrente, después de haberle comunicado al interesado que accedía a la cancelación y bloqueo de sus datos personales, le reclamó una deuda derivaba de su previa relación contractual y que al parecer había resultado impagada. El hecho de que Endesa al acceder al derecho de cancelación no especificase que dicha cancelación solo produciría efectos "pro futuro", tanto para dar por concluida la relación comercial que les vinculaba como para la futura remisión de publicidad u otro tipo de tratamiento de sus datos futuros, no podía ser interpretado como la imposibilidad de utilizar los datos del recurrente para reclamarle deudas vencidas y exigibles correspondientes al periodo en que la relación comercial entre ambos subsistía, otra interpretación de esta comunicación debe reputarse absurda y desproporcionada. El derecho de oposición y cancelación de datos no puede ser utilizado como mecanismo liberatorio o de condonación de deudas vencidas y, por ende, la entidad Endesa se encontraba autorizada a seguir tratando los datos personales del cliente con la finalidad de reclamarle las deudas pendientes, así lo reconoce la propia Agencia de protección de datos y lo dispone el artículo 6.2 de la LOPD ("no será preciso el consentimiento cuando los datos de carácter personal...cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento") y el art. 16 de dicha norma, referente al derecho de rectificación y cancelación, dispone en su apartado quinto que "Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su cado, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado" y en similares términos se pronuncia el art. 33.1 del Real Decreto 1720/2007.

El hecho de que en respuesta a su petición de cancelación no se le especificase que dicha cancelación tan solo operaba para el futuro no puede considerarse el incumplimiento del deber de cancelación, ni puede reputarse un tratamiento inconsentido por lo que carece de toda lógica y resulta contrario a los principios inspiradores del derecho administrativo sancionador que la conducta lícita y legal de dicha entidad dejó de serlo porque accedió a la petición de cancelación sin especificar que ello no impedía la posibilidad de reclamar las deudas pendientes.

QUINTO. A los efectos previstos en el art. 139 de la Ley reguladora de esta jurisdicción en materia de costas procesales, no se aprecia temeridad o mala fe en ninguno de los litigantes.

VISTOS los preceptos citados y demás normas de procedente aplicación,

FALLAMOS

QUE PROCEDE ESTIMAR el recurso interpuesto por la entidad Endesa Energía SA Unipersonal, contra la resolución de fecha 17 de noviembre de 2009 y contra la resolución de 25 de enero de 2010 que la confirma en reposición, dictadas por el Director de la Agencia Española de Protección de Datos por la que se impuso una sanción de 6000 E por una infracción del art. 16 de la LOPD tipificada como leve en el art. 44.2.a) de dicha norma, anulando las resoluciones administrativas sin hacer expresa condena en costas.

Notifíquese a las partes la presente resolución indicándoles que contra la misma no cabe recurso de casación.

Así, por esta nuestra sentencia de la que se llevará testimonio a las actuaciones, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior sentencia en audiencia pública. Doy fe. Madrid a

LA SECRETARIA JUDICIAL