PS-00147-2015

1/7 Procedimiento Nº PS/00147/2015 RESOLUCIÓN: R/02205/2015 En el procedimiento sancionador PS/00147/2015, instruido por la Agencia Española de Protección de Datos a la entidad INSPECCION-REVSION Y MANTENIMIENTO DE APARATOS A GAS S.L.., vista la denuncia presentada y en base a los siguientes:, ANTECEDENTES PRIMERO: Con fecha de 20/3/14 tiene entrada en esta Agencia un escrito de C.C.C. en el que declara que en fecha 11/2/14 la entidad Aparatos de Gas S.L. cargó en su cuenta el importe de un servicio de mantenimiento que no había contratado relativo a una vivienda de su propiedad que tiene alquilada. Manifiesta que se puso en contacto con la referida entidad y pidió copia del contrato comprobando que en éste figuran sus datos personales, incluida cuenta bancaria, pero la firma es de la de su inquilina. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/3316/2014. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 27/1/15. TERCERO: Con fecha 17/3/15 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad INSPECCION-REVSION Y MANTENIMIENTO DE APARATOS A GAS S.L. por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal. CUARTO: Con fecha 6/4/15 se reciben en esta AEPD las alegaciones de la Entidad denunciada en dónde pone de manifiesto lo siguiente: De la infracción cometida Que dicha infracción tiene su origen en la actuación de buena fe de esa mercantil, durante la comercialización de un contrato de mantenimiento con la vivienda sita en la C/ E.E.E. y en contrato con la arrendataria de la misma que tras visita de un comercial manifestó su interés en la contratación del servicio ofertado. Tras la reclamación de la denunciante, titular del contrato, sus datos han sido eliminados De la aplicación del art. 45.6 de la LOPD Del reconocimiento de su responsabilidad QUINTO: Se apertura periodo de práctica de pruebas, realizándose las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por C.C.C. y su documentación, los documentos obtenidos y generados por los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Servicios de Inspección ante INSPECCION-REVSION Y MANTENIMIENTO DE APARATOS A GAS S.L.., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03316/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00147/2015 presentado por INSPECCION-REVSION Y MANTENIMIENTO DE APARATOS A GAS S.L.., y la documentación que a ellas acompaña. SEXTO: Por el instructor del procedimiento se formuló, con fecha 30/6/15, la siguiente propuesta de resolución: <<<<< Que por el Director de la Agencia Española de Protección de Datos se sancione a INSPECCION-REVSION Y MANTENIMIENTO DE APARATOS A GAS S.L.. con multa de 3.000 € (tres mil euros) por la infracción de los artículos 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma. >>>>> SEPTIMO: Se ha escrito de alegaciones a la propuesta de resolución manifestando lo siguiente: * Que dicha infracción tiene su origen en la actuación de buena de por parte de la entidad, durante la comercialización de un contrato de mantenimiento y en concreta con la arrendataria de la vivienda que tras la visita de un comercial manifestó su interés en la contratación del servicio ofertado. Dejándose una copia del contrato en el domicilio para que la inquilina se lo entregara a la propietaria. * Que la entidad denunciada ha reconocido su responsabilidad HECHOS PROBADOS 1º Consta denuncia presentada por C.C.C. en el que declara que en fecha 11 de febrero de 2014 la entidad Aparatos de Gas S.L. cargó en su cuenta el importe de un servicio de mantenimiento que no había contratado relativo a una vivienda de su propiedad que tiene alquilada. 2º Que la denunciante se puso en contacto con la referida entidad y pidió copia del contrato comprobando que en éste figuran sus datos personales, incluida cuenta bancaria, pero la firma es de la de su inquilina. 3º Constan manifestaciones de la entidad denunciada en el sentido que el contrato se comercializó en el vivienda de la c D.D.D. y se contrató a través de la inquilina la cual facilito todos los datos referentes al afectado y firmó la conformidad, La inquilina manifestó que todos los servicios de energía así como cualquier arreglo o reparación corrían a cargo de la propietaria pero sí que quería que le revisaran la caldera como obliga la normativa actual vigente. 4º Que de los datos aportados en el contrato se dejó una copia en el domicilio para que la inquilina se la diera a la propietaria, se le pidió el teléfono a la inquilina para poder notificar cualquier eventualidad a la propietaria pero la inquilina dijo no tener el teléfono de la propietaria y que ella se lo notificaría. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 5º Según indican los representantes de la entidad, el cargo por el servicio de mantenimiento fue devuelto el 14 de Marzo 2014 dentro del plazo de devolución; lo cual anula automáticamente el contrato. Por otro lado con fecha 25/06/2014 han procedido a anular de sus archivos toda la información relativa a este contrato. Los representantes de la entidad aportan copia del contrato suscrito en el que figuran los datos de la propietaria y se especifica que firma la inquilina, no aportan de documentación que autorice a la inquilina a contratar en nombre de la propietaria. 6º Por parte de la entidad denunciada se ha reconocido su responsabilidad en los hechos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD II Se analiza en el presente procedimiento si los hechos denunciados suponen una vulneración del contenido del art. 6.1 LOPD, que consagra el principio del consentimiento en el marco de la LOPD: como derecho del afectado a consentir de manera inequívoca sobre el uso y tratamiento de sus datos de carácter personal. En este caso se ha aportado copia de un contrato de mantenimiento de gas, relativo al domicilio C/ F.F.F. de Madrid, suscrito el día 24/1/14 entre la entidad denunciada y la inquilina del mismo, en nombre de la propietaria de la vivienda (Dª C.C.C.), donde constan los datos de la denunciante pero sin acreditar su consentimiento para el tratamiento de sus datos. En dicho contrato figuraba así mismo una cuenta corriente de la denunciante en la que se giró un cargo por los servicios contratados que resultó devuelto. No consta aportado, por tanto, ningún documento que acredite el consentimiento expreso de la denunciante (como titular del domicilio) ni consta acreditado que por la Entidad denunciada se obrase con la debida diligencia para comprobar que se contase con el consentimiento de la Sra. C.C.C. para realizar la contratación a su nombre, sólo se manifiesta que: “Que de los datos aportados en el contrato se dejó una copia en el domicilio para que la inquilina se la diera a la propietaria, se le pidió el teléfono a la inquilina para poder notificar cualquier eventualidad a la propietaria pero la inquilina dijo no tener el teléfono de la propietaria y que ella se lo notificaría” A mayor abundamiento la entidad denunciada ha aceptado su responsabilidad por la comisión de dicha infracción, en lo relativo al tratamiento de los datos de la denunciante manifestando que “todo este procedimiento tiene su origen en un lamentable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 malentendido, no habiendo sido nunca voluntad de esa mercantil ni imponer la contratación de un servicio ni tratar los datos de carácter personal de un tercero sin su autorización” La infracción cuya comisión se atribuye a la entidad denunciada consiste en el tratamiento de datos personales del denunciante sin su consentimiento, mediante su incorporación a sus ficheros como titular de un contrato y la emisión de una factura a su cargo. El art. 3
2. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Pero, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). En el presente caso, se ha acreditado que la denunciante no dio en ningún momento su consentimiento alguno para el alta de los servicios. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Por consiguiente, se ha de concluir que ante la falta de acreditación por parte de la entidad denunciada del consentimiento del denunciante para el tratamiento de sus datos personales, ni del empleo de una diligencia razonable para asegurarse que contaba con el mismo, resulta acreditada la infracción atribuida a INSPECCION-REVISION Y MANTENIMIENTO DE APARATOS A GAS. III El artículo 44.3.
3. d)de la LOPD tipifica como infracción grave: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave”. El principio del consentimiento se configura como principio básico en materia de protección de datos y así se declara en la doctrina de la citada Sentencia del Tribunal Constitucional (STC 292/2002). Este principio se recoge, según ha quedado expuesto, en el artículo 6 de la LOPD, que exige la necesidad de consentimiento del afectado para que puedan tratarse sus datos de carácter personal. La Audiencia Nacional ha manifestado, en su Sentencia de 22/10/2003, que “... la descripción de conductas que establece el artículo 44.3.
4. d)de la Ley Orgánica 15/1999 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos...”. En este caso, INSPECCION-REVISION Y MANTENIMIENTO DE APARATOS A GAS ha incurrido en la infracción descrita en el citado artículo 44.3.b), toda vez que supone una vulneración del principio de consentimiento, consagrado en el artículo 6 de la LOPD, el tratamiento que ha realizado de los datos del denunciante sin su consentimiento y sin que concurra ninguna de las causas de exclusión del consentimiento recogidas en el apartado 2 del mencionado artículo 6. Iv El artículo 45.1, 2, 4 y 5 LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 601,01 € a 60.101,21 €. 2. Las infracciones graves serán sancionadas con multa de 60.101,21 a 300.505,05 euros”. “4. La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad y a la reincidencia. 5. Si, en razón de las circunstancias concurrentes, se apreciara una cualificada disminución de la culpabilidad del imputado o de la antijuricidad del hecho, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 considerada en el caso de que se trate”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. En este caso, concurren circunstancias con entidad suficiente para apreciar una cualificada disminución de la culpabilidad de la citada entidad y la antijuridicidad de los hechos imputados, considerando la falta de intencionalidad habida en la actuación de la entidad imputada; que se firmó un contrato con la arrendataria de la vivienda, que el comportamiento de esta ha podido influir y que el contrato de mantenimiento que ha motivado el presente procedimiento sancionador fue cumplimentado a nombre del denunciante y aportado por un agente de dicha entidad, circunstancia que no exime a la misma de responsabilidad pero permite aplicar las previsiones contenidas en el citado artículo 45.5 de la LOPD. Además, la falta de reincidencia y la afectación a un solo caso, permiten cuantificar la sanción conforme a la escala prevista para las infracciones leves. Debe tenerse en cuenta que por la Entidad denunciada en las alegaciones al Acuerdo de Inicio procedió al reconocimiento voluntario de la responsabilidad, motivo por el que se procede aplicar el art. 45.5
5. d)LOPD. “Cuando el infractor haya reconocido espontáneamente su culpabilidad” Por otra parte, en relación con los criterios de graduación recogidos en el artículo 45.4 y, en especial, la naturaleza de los derechos personales afectados y el volumen de tratamientos, procede imponer a INSPECCION-REVISION Y MANTENIMIENTO DE APARATOS A GAS una sanción por importe de 3.000 euros, por el incumplimiento del “principio del consentimiento” recogido en el artículo 6.1 de la citada LOPD, que resulta del tratamiento de los datos del afectado sin su consentimiento. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad INSPECCION-REVSION Y MANTENIMIENTO DE APARATOS A GAS S.L.., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b de dicha norma, una multa de 3.000 € (tres mil euros) de conformidad con lo establecido en el artículo 45.5 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a INSPECCION-REVSION Y MANTENIMIENTO DE APARATOS A GAS S.L.. y a C.C.C.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es