PS-00117-2015

1/12 Procedimiento Nº PS/00117/2015 RESOLUCIÓN: R/01734/2015 En el procedimiento sancionador PS/00117/2015, instruido por la Agencia Española de Protección de Datos a la entidad GAS NATURAL SERVICIOS SDG, S.A.., vista la denuncia presentada por B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 14 de marzo de 2014, escrito presentado por D. B.B.B. (en adelante denunciante), y con fecha de 20 de junio y de 17 de julio de 2014 subsanación del mismo, en los que denuncia a la compañía Gas Natural Servicios SDG, S.A. (en adelante GAS NATURAL FENOSA) manifestando lo siguiente: El denunciante remitió a GAS NATURAL FENOSA escrito, mediante burofax el día 4 de septiembre de 2013, en el que comunicaba lo siguiente: Como cliente de GAS NATURAL FENOSA decidí en el mes de febrero de 2013 dar de baja mis contratos de luz y gas con ustedes. (…) les pongo de manifiesto que NO AUTORIZO el registro ni el tratamiento de mis datos personales por su parte, por lo que solicito que los eliminen de su fichero de datos y no los cedan a terceros (…). GAS NATURAL FENOSA remite escrito al denunciante, en marzo de 2014, en el que le comunican lo siguiente: Hace un tiempo que se fue a otra compañía, por lo que seguramente se haya quedado sin descuentos en su factura. Desde que se marchó, en Gas Natural Fenosa hemos seguido poniendo la misma ilusión y esfuerzo para ofrecerle un servicio de calidad al mejor precio. Por ello, le hemos preparado una oferta única para que ahorre mientras vuelve a disfrutar del servicio del experto en energía. Llámenos gratis al 900****** (…). En el pie de página consta el siguiente texto: Datos obtenidos de la base de datos de puntos de suministro de su empresa distribuidora de electricidad, de conformidad con lo establecido en la Ley 24/2013 del Sector Eléctrico y en el artículo 7 del Real Decreto 1955/2000. De conformidad con dicha norma puede ejercer su derecho de acceso, (…). GAS NATURAL FENOSA remite escrito al denunciante, en junio de 2014, en el que le comunican lo siguiente: Hace más de un año que se fue a otra compañía, por lo que muy probablemente ya se haya despedido de los descuentos en su factura. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Y ahora hemos preparado una oferta que se adapta a sus necesidades. Aproveche esta oportunidad única de ahorrar en su factura mientras vuelve a disfrutar del servicio del experto en energía. Llámenos gratis al 900****** (…). En el pie de página consta el siguiente texto: Datos obtenidos de la base de datos de puntos de suministro de su empresa distribuidora de gas natural, de conformidad con lo establecido en la Ley 34/1998 del Sector de Hidrocarburos y en el art. 43 del Real Decreto 1434/2002. De conformidad con dicha norma puede ejercer su derecho de acceso, (…). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GAS NATURAL SERVICIOS SDG, S.A.teniendo conocimiento de que: La compañía GAS NATURAL FENOSA ha comunicado a la Inspección de Datos, con fecha de 22 de enero de 2015, en relación con los escritos remitidos al denunciante lo siguiente:  Tal y como consta en el pie del envío postal los datos del denunciante fueron obtenidos de la base de datos de puntos de suministro de su empresa distribuidora al amparo de los dispuesto en la Ley 24/2013 del Sector eléctrico y en el artículo 7 del Real Decreto 1435/2002, de 27 de diciembre, por el que se regulan las condiciones básicas de los contratos de adquisición de energía y de acceso a las redes en baja tensión.  De acuerdo con el mencionado art. 7 las empresas distribuidoras deben disponer de una base de datos referidos a todos los puntos de suministro conectados a sus redes y a las redes de transporte de su zona, en la que consten al menos los datos relativos al punto de suministro que figuran detallados en dicho artículo, y que son, entre otros: ubicación y titular. Las empresas distribuidoras deberán garantizar el acceso a las bases de datos de puntos de suministro a través de medios telemáticos a cualquier comercializador o la Oficina de Cambio de Suministrador.  Así pues, todas las empresas comercializadoras, entre ellas GAS NATURAL FENOSA tienen acceso a las citadas bases de datos de puntos de suministro de las empresas distribuidoras, pudiendo descargar dicha base de datos y proceder al tratamiento de los datos contenidos en la misma.  Además según lo dispuesto en el apartado 3 del art. 7 mencionado: Aquellos a quienes se refiera dicha información tendrán derecho de acceso a sus datos contenidos en este registro de forma gratuita y, además, podrán prohibir por escrito a los distribuidores la difusión de los datos que señalen expresamente. En este caso la manifestación escrita del consumidor deberá constar expresamente en la base de datos, correspondiendo a la Oficina de Cambios de Suministrador custodiar una copia de dicha solicitud.  Añaden que cuando se realizó la extracción de la base de datos de la distribuidora, de la que se eliminaron Robinsones, para efectuar el envío de la campaña comercial que ha recibido el denunciante no constaba en dicha base de datos que aquél hubiese prohibido a la distribuidora la difusión de sus datos.  Así, pues GAS NATURAL FENOSA no ha utilizado ningún dato que obrara en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 sus sistemas, sino que los mismos han sido obtenidos de la base de datos de la empresa distribuidora del denunciante. TERCERO: Con fecha 20 de febrero de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a GAS NATURAL SERVICIOS SDG, S.A. con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3

1. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, GAS NATURAL SERVICIOS SDG, S.A.., mediante escrito de fecha formuló alegaciones, significando, que: Los datos tratados han sido obtenidos de las bases de datos de la empresa distribuidora del denunciante, GNS procedió a cancelar los datos del denunciante cuando este así lo solicito, por lo que tuvo que acudir a la base de datos mencionada para efectuar las comunicaciones, debiendo recordar lo dispuesto en el apartado 3 del artículo 7 del RD 1435/2002, que prevé la posibilidad de que los interesados prohíban que sus datos sean difundidos. Al no constar dicha prohibición, no se eliminaron los Robinsones y fueron incluidos en la base de datos para hacer el envío de la comunicación. GNS no ha utilizado ningún dato del denunciante que obrara en sus sistemas, pues los dio de baja. GNS ha tratado los datos bajo la creencia de que el denunciante tiene la posibilidad de poder prohibir su difusión y sin embargo no había ejercido la misma, por lo que se entendió que no existía oposición. Solicita el archivo del expediente y subsidiariamente la aplicación del art. 45.5 de la LOPD QUINTO: Con fecha de 20/04/2015 se inició el período de práctica de pruebas, en el que se dio por reproducidos a efectos probatorios la denuncia interpuesta por B.B.B. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante GAS NATURAL SERVICIOS SDG, S.A.., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04188/2014 y las alegaciones al acuerdo de inicio PS/00117/2015 presentadas por GAS NATURAL SERVICIOS SDG, S.A.., y la documentación que a ellas acompaña. SEXTO: En fecha de 29 de mayo de 2015 el Instructor del Procedimiento emitió Propuesta de Resolución solicitando la imposición de sanción a GAS NATURAL SERVICIOS SDG, S.A.., por la vulneración del art. 6 de la LOPD. SEPTIMO: En fecha de 19/06/2015 la representación de GAS NATURAL SERVICIOS SDG, S.A.., presento escrito de alegaciones en las que reiteraba las manifestaciones ya realizadas. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 UNO.- En fecha de 4/09/2013 mediante burofax el denunciante remitió a GNS un escrito en el que comunicaba lo siguiente: Como cliente de GAS NATURAL FENOSA decidí en el mes de febrero de 2013 dar de baja mis contratos de luz y gas con ustedes. (…) les pongo de manifiesto que NO AUTORIZO el registro ni el tratamiento de mis datos personales por su parte, por lo que solicito que los eliminen de su fichero de datos y no los cedan a terceros (…). (Folios 4 a 5) DOS.- En los meses de marzo y junio de 2014 GNS remite sendos escritos publicitarios al denunciante donde constan sus datos relativos al nombre y apellidos y domicilio completo, en los que se informa de que: Datos obtenidos de la base de datos de puntos de suministro de su empresa distribuidora de gas natural, de conformidad con lo establecido en la Ley 34/1998 del Sector de Hidrocarburos y en el art. 43 del Real Decreto 1434/2002. De conformidad con dicha norma puede ejercer su derecho de acceso, (…) (Folios 3 y 9) TRES.- Mediante escrito de fecha 19/02/2015 en el expediente de Actuaciones Previas de Investigación del que trae causa el presente procedimiento sancionador, GNS aporta captura de pantalla del sistema en el que constan los datos del denunciante en el apartado “PERFIL CLIENTE/Contratos” con dos productos en Estado INACTIVO ( Básica GAS y Optima Dual Luz) con marca en el campo No conservación de datos; y en el apartado CLIENTES con marcas en el campo No Cesión, No publicidad, No conservación de datos. (Folio 54) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 III El artículo 3 de la LOPD en su apartado
3. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y a los encargados de tratamiento. Art 43 LOPD, por tanto ambas figuras están sujetas al régimen sancionador de la LOPD. Conforme al artículo 3.
4. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. En el presente caso estamos ante el tratamiento de datos personales del denunciante por parte de GNS, en sus ficheros y por su cuenta, lo que les sitúa en una posición jurídica susceptible de generar responsabilidad por incumplimiento de la LOPD. IV Dispone el artículo 6 de la LOPD: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Dispone el artículo 16.1 de la LOPD: El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. Dispone el artículo 5.1
5. b)del RDLOPD: Cancelación: Procedimiento en virtud del cual el responsable cesa en el uso de los datos. La cancelación implicará el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades. Transcurrido ese plazo deberá procederse a la supresión de los datos. Asimismo, es preciso traer a colación lo recogido la Sentencia de la Audiencia Nacional Sección 1ª de 30 de noviembre de 2001 (Rec. 589/2000) confirma la infracción por tratamiento incontenido de datos respecto de la entidad que envío un nuevo mensaje publicitario a quien previamente había solicitado la cancelación de tales envíos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 De lo expuesto se deduce que el responsable del fichero está obligado, bien por el contenido de la relación jurídica que le vincula con el titular de los datos, bien por lo establecido en una norma imperativa, al mantenimiento del dato una vez solicitada su cancelación, si bien sometido a determinadas condiciones que aseguren y garanticen el derecho de afectado a la protección de sus datos de carácter personal y el haz de facultades que conlleva ( como es la cancelación y sus consecuencias), no pudiendo disponer de tales datos en la misma medida en que podría hacerlo en caso de que no procediera la citada cancelación y teniendo en cuenta que la interpretación del contenido de un derecho fundamental a de ser extensiva para dotar de las máximas garantías al bien jurídico protegido. V En el presente caso, no consta actuación alguna por parte de GNS tendente a evitar que no se volvieran a tratar los datos del denunciante en sus sistemas, pretendiendo esta plantear una suerte de desplazamiento de responsabilidad en el propio denunciante por no manifestar la prohibición señalada en el art. 7.3 del RD1435/2002. Desde el mes de septiembre de 2013 la entidad es conocedora de la voluntad del denunciante respecto del tratamiento de sus datos por su parte, debiendo articular los medios necesarios para saber si cuenta o no con el consentimiento del titular de los datos y dada la estructuración de la información obrante en sus sistemas ( Folio 54), tiene campos de marcación para evitar el envío de publicidad y otros tratamientos inconsentidos, y o bien no se marcaron a la fecha de la solicitud o bien se marcaron y no funcionó, sin perjuicio de que GNS nada ha alegado a este respecto y tampoco consta cumplida la obligación prevista en el art. 16 de la LOPD y 33 y siguientes del RDLOPD respecto a la contestación ante el ejercicio del derecho de cancelación. Por otra parte, sostiene GNS que no elimino los “Robinsones” de la base de datos para el envío de publicidad al no constar en sus sistemas y que éstos fueron obtenidos de la base de datos de puntos de suministros, frente lo que hay que señalar que en el citado Folio 54 constan los datos del denunciante con información de la que se deduce que GNS no procedió a la cancelación y los conservo, pues no se explica cómo constan los productos, si bien inactivos, que en su día el denunciante contrato si dicha información ha sido obtenida de la tan citada base de datos de puntos de suministro, en la que aparecería solo el titular y no el nombre comercial de los productos y servicios de los que hizo uso el denunciante. Frente a esta circunstancia GNS nada manifiesta en sus alegaciones formuladas a la Propuesta de Resolución del Instructor. Finalmente hay que poner de manifiesto que aceptar la “habilitación” del RD 1432/2002 como anulación de la cancelación ejercida por el denunciante supone vaciar de contenido el principio del consentimiento para el tratamiento de datos personales y relegar a mero formalismo el ejercicio de los derechos ARCO, perdiendo así la sustantividad que el legislador les otorgo con la promulgación de la LOPD. A mayor abundamiento, admitiendo tal interpretación perdería sentido la propia existencia de los ficheros de comunes de exclusión de envíos publicitarios previstos en el art. 49 del RDLOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Cuestión distinta es que el denunciante nunca hubiera solicitado la cancelación de sus datos las entidades habilitadas accedieran a la base de datos de puntos de suministros, lo legitimaria dicho tratamiento. Sin embargo no ocurre así en los hechos analizados. El tratamiento de datos personales posterior a cualquier circunstancia de la que se deduzca la ausencia de consentimiento (como es la cancelación o la oposición a un determinado tratamiento) ha sido analizado por la Audiencia Nacional en Sentencia de 15/04/2012, recaída en el Recurso nº 330/2009, donde señala en su Fundamento de Derecho Cuarto: “Es cierto, como argumenta la parte actora, que cuando los datos figuran en fuentes accesibles al público y sean utilizados para la satisfacción de un interés legítimo no requieren el consentimiento. Ahora bien, en el presente caso es preciso tener en cuenta que el denunciante había revocado expresamente tal consentimiento cuando ejercitó su derecho de cancelación de sus datos personales de los ficheros de la entidad recurrente. De los hechos declarados probados en la resolución impugnada, que no son cuestionados por la actora, resulta que don Feliciano ejercitó el derecho de cancelación de sus datos personales obrantes en todos los ficheros de Ibercaja en fecha 20 de abril de 2002 y la citada entidad procedió a cumplir tal requerimiento, comunicándoselo por escrito de 29 de abril de 2002. Pese a ello, en septiembre de 2006 Ibercaja envió al denunciante una comunicación con fines de publicidad y prospección comercial, en la que se indicaba que sus datos personales obtenidos de las guías de abonados de servicios telefónicos, se encontraban incluidos en un fichero cuyo responsable era la citada entidad. Con independencia de que los datos hubiesen sido obtenidos de fuentes accesibles al público, la inclusión de los datos del denunciante en un fichero de Ibercaja, contraviniendo la voluntad expresa de cancelación realizada por el Sr. Feliciano , supone un tratamiento de los datos del denunciante sin su consentimiento. El denunciante ejercitó su derecho a cancelar definitivamente sus datos personales de los ficheros de la citada entidad, y tal cancelación sería totalmente ineficaz y contraria al derecho a la protección de los datos personales, y al concreto derecho a la cancelación, si los datos se incluyen en un otro fichero de la misma entidad, pudiendo burlar la voluntad expresamente manifestada, tratando los datos sin obtener previamente un nuevo e inequívoco consentimiento para ello, cuando ya había manifestado su oposición al tratamiento. Así las cosas, resulta claro que Ibercaja ha infringido el artículo 6.1 de la LOPD , y les imputable la conducta tipificada en el artículo 44.3d) de la citada Ley , como recoge la resolución impugnada. “(El subrayado es de la AEPD). En conclusión, GNS no ha aportado prueba alguna que legitime el tratamiento de datos personales del denunciante con posterioridad a la cancelación manifestada por éste, lo que hace decaer su legitimación incurriendo en un tratamiento de datos personales sin consentimiento. VI Volviendo al tan citado art. 6 LOPD y su literalidad: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” hay que señalar que si bien es cierto que no señala expresamente la obligación de guardar prueba documental, se ha entendido a través de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 los Informes y Resoluciones de esta Agencia, y la jurisprudencia que se cita a continuación, que cualquier medio valido en derecho, conjugado con circunstancias concurrentes, sirven para acreditar el consentimiento (sin perjuicio de que para ciertos datos personales, éste haya de ser expreso). Asimismo, esta doctrina diamante de los Informes y las Resoluciones, las recoge ya el propio art. 12 del RDLOPD señala “corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. De conformidad con la definición de tratamiento de datos personales, se ha acreditado el tratamiento de datos personales por parte de GNS, ya sea a través del envío publicitario, ya sea a través de la tenencia de los mismos en los sistemas de GNS como prueba la información obrante en el folio 54. Finalmente, respecto de la carga de la prueba: una vez acreditado el tratamiento de los datos por la Agencia, y negado por el interesado, dicho consentimiento inequívoco, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. Asimismo, la Sentencia de la Audiencia Nacional de 11/05/2001 dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” (el subrayado es de la Agencia Española de Protección de Datos). Así las cosas procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. ... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, ... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por ello, una vez acreditado el tratamiento de los datos por la Agencia, corresponde a la parte imputada que efectúa el tratamiento justificar que contaba con el repetido consentimiento que sirviera de cobertura al tratamiento realizado. VII Dispone el artículo 44.3.
6. b)de dicha norma que considera con infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso se cumplen los supuestos de hecho que tipifica el precepto, es decir, resulta acreditado un tratamiento de datos personales y la exigibilidad del consentimiento viene dada en la norma aplicable sin ser aplicables las excepciones previstas. VIII El artículo 45 de la LOPD, en sus apartados 2 a 5, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
7. a)El carácter continuado de la infracción.
8. b)El volumen de los tratamientos efectuados.
9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
10. d)El volumen de negocio o actividad del infractor.
11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
12. f)El grado de intencionalidad.
13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. IX En el presente caso concurren circunstancias que impiden apreciar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 degradación prevista en el art. 45.5 de la LOPD y solicitada por GNS, y en concreto la reiteración y reincidencia en la comisión de infracciones de la misma naturaleza, ya que mediante Sentencia de fecha 30/05/2014 la Audiencia Nacional confirmo la sanción interpuesta a GNS por el tratamiento incontenido de datos de un denunciante tras obtener los datos personales de la base datos del punto de suministros sin realizar comprobación alguna respecto del haz de facultades que otorga el derecho fundamental a la protección de datos, estableciendo en su Fundamento de Derecho Tercero: Por tanto, la cuestión que se suscita en el caso de autos no es fáctica sino jurídica y consiste en dilucidar si el invocado por la actora RD 1432/2002, que habilita el acceso a una base de datos de titulares de punto de suministro, puede habilitar el tratamiento de los datos del denunciante efectuado con posterioridad a la revocación del consentimiento para el tratamiento con fines comerciales y a la transmisión del citado cliente (en abril de 2010) a la suministradora actual. Pues bien, parece claro que si el denunciante ejerció su derecho de oposición ante la entidad recurrente para que sus datos no fueran tratados- por lo que aquí nos interesa- con fines comerciales, solicitud que la recurrente se comprometió a atender, debió adoptar las medidas necesarias para garantizar que sus datos no van a ser tratados con fines comerciales. A tal fin dispone el artículo 48 del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica de Protección de Datos (RLOPD) que “Los responsables a los que el afectado haya manifestado su negativa a recibir publicidad podrán conservar los mínimos datos imprescindibles para identificarlo, y adoptar las medidas necesarias que eviten el envío de publicidad”. Por tanto, no puede aceptarse lo alegado por la actora respecto a que no podía guardar información de los clientes transmitidos, pues el citado precepto la habilitaba para conservar los mínimos datos imprescindibles al objeto de evitar el envío de publicidad o, lo que es igual, el tratamiento de sus datos con fines comerciales. En casos como el presente, no puede aceptarse la habilitación del citado RD 1432/2002 como anulación de la revocación y oposición ejercida por el denunciante pues, como razona la AEPD, ello supondría vaciar de contenido el principio del consentimiento para el tratamiento de datos personales y relegar a mero formalismo el ejercicio del derecho de oposición, perdiendo así la sustantivídad que el legislador les otorgó en la LOPD. Por tanto, la entidad recurrente al objeto de atender el derecho de oposición del denunciante, debió haber cruzado la base de datos del punto de suministro con la propia de la entidad referida a aquellas personas que hubieran mostrado su oposición al tratamiento de sus datos con fines comerciales, lo que no hizo. En definitiva Gas Natural Servicios SDG ha incurrido en la infracción apreciada por vulneración del principio del consentimiento reconocido en el artículo 6.1 de la LOPD, pues pese a conocer desde marzo de 2009 la revocación del consentimiento del denunciante para el tratamiento de sus datos con fines comerciales, y con independencia de que con posterioridad dejara de ser cliente de la entidad y sus datos hayan sido obtenidos de la base de datos de puntos de suministros, no ha adoptado medida alguna para evitar el uso de sus datos personales para el envío de publicidad. El recurso, en definitiva, debe ser desestimado. (…) Asimismo, respecto del apartado
22. c)del artículo 45.4 LOPD debe señalarse que de la actividad de GNS de la que se deriva un continuo tratamiento de datos personales, se ha de desprender un celo y rigor exquisito, que se traduce en una diligencia acorde con la profesionalidad del sector. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 Las alegaciones realizadas, y las medidas adoptadas, no acreditan que en los hechos concretos se hubieran tomado ninguna medida, que de haberse producido, habría evitado los hechos como el denunciado. Por tanto, no se considera que concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5. de la LOPD. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD y, en especial, la falta de intencionalidad, procede la imposición de la sanción en su cuantía mínima. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GAS NATURAL SERVICIOS SDG, S.A.., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
23. b)de dicha norma, una multa de 40.001€ (cuarenta mil un euro) de conformidad con lo establecido en el artículo 45 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a GAS NATURAL SERVICIOS SDG, S.A.., y a B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es