PS-00183-2013

1/16 Procedimiento Nº PS/00183/2013 RESOLUCIÓN: R/01837/2013 En el procedimiento sancionador PS/00183/2013, instruido por la Agencia Española de Protección de Datos a la entidades --GALP ENERGIA ESPAÑA, S.A.U--, y –PARTEC REPRESENTACIONES S.L--vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Don A.A.A. (*en lo sucesivo el denunciante) declara que un comercial de la Empresa suministradora de gas--Galp Energía-- (Entidad denunciada) se presentó en su domicilio y solicitó a su mujer las últimas facturas de gas y electricidad y el número de cuenta. Su mujer firmó el contrato, pero el comercial se llevó las facturas para cumplimentarlo, comprometiéndose a devolverlas por correo. Según comunica el afectado no informaron a su mujer que también estaba contratando un servicio de mantenimiento y además no le han devuelto las facturas que se llevó el comercial. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GALP ENERGIA ESPAÑA, S.A.U., teniendo conocimiento de que: Los representantes de Galp Energía aportan copia de un contrato a nombre de Don A.A.A. firmado en su nombre por Doña B.B.B.. En este documento se contrata el suministro de gas, de electricidad y el servicio de mantenimiento ConforGas. Con fecha 15 de junio de 2012 se recibe una reclamación procedente de la Concejalía de Salud y Consumo del Ayuntamiento de Coslada. Con fecha 26 de junio de 2012 se emite respuesta desde GALP indicando que según figura en su sistema de información, el cliente revocó la contratación de los servicios dentro de los plazos señalados, pero por un error en los sistemas se procedió a la activación. En relación al servicio de mantenimiento ConfortGas, el cliente llamó a la entidad indicando que no deseaba contratarlo por lo que no se dio de alta. Según figura en los ficheros de Galp, el suministro de electricidad se dio de alta en fecha 10 de mayo de 2012, continuando activo a fecha 17 de octubre de 2012. El suministro de gas se dio de alta en fecha 21 de febrero de 2012 y de baja por cambio de comercializadora en fecha 23 de abril de 2012. En la contestación remitida al cliente a través de la Concejalía de Salud y Consumo del Ayuntamiento de Coslada se le informa del procedimiento a seguir para cambiar de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 comercializadora de electricidad. En el fichero de contactos y reclamaciones mantenidos con el reclamante figura:  En fecha 20/12/2011 llama el cliente indicando que el día anterior ha pasado un comercial por el domicilio de sus padres y les hizo firmar unos papeles y que quieren seguir como están.  En fecha 26/12/2011 solicita la anulación del servicio de mantenimiento ConfortGas. Este mismo día gestionan la baja.  En fecha 10/04/2012 solicita la baja en todos los servicios. Indica que está en doble comercializadora. En las actuaciones realizadas por la entidad consta que se pasa nota al departamento de doble comercializadora.  En fecha 12/04/2012 se recibe un escrito en el que manifiesta la anulación de todos los contratos.. La compañía le comunica el procedimiento para cambiar de comercializadora.  Con fecha 26/06/2012 se recibe reclamación de la DGC de la Comunidad de Madrid al que responden con fecha 28/06/2012 indicando que a pesar que el cliente revocó en plazo su voluntad de contratación, por un error en sus sistemas no se atendió su solicitud. Según figura en los ficheros de la entidad la fuerza de ventas responsable de la contratación es Partec Representaciones.Según ha quedado acreditado en el Acta de Inspección E/6200/2012 realizada en la entidad Partec Representaciones S.L. (en adelante Partec): C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 1.1. La actividad única de la entidad ha sido la comercialización de productos y servicios de Galp Energía, si bien actualmente no tiene ningún tipo de actividad, y la disolución final se producirá cuando finalicen los contenciosos que tienen interpuestos.. 1.2. El único cliente que ha tenido Partec como empresa ha sido Galp. Comenzó a trabajar con ella en marzo de 2011 mediante contrato verbal. Inicialmente no recibe ninguna instrucción concreta de Galp en cuanto a la forma de proceder para recabar los datos personales incluidos en el contrato, sólo recibe los contratos de Galp en blanco para que los comerciales de Partec los cumplimenten. Siguiendo las instrucciones de Galp recibidas por correo electrónico no se consideraba necesario que el contrato estuviese firmado por el titular del suministro contratado, podía ser firmado por cualquier persona que se encontrase en el domicilio apelando al criterio del comercial (esposa, inquilino, hijo, etc….). En junio de 2012, Partec recibe un nuevo correo electrónico modificando este procedimiento. A partir de ese momento, los comerciales deben recabar los datos personales y firmar el contrato con el titular del servicio y si era inquilino debía aportar copia del DNI y autorización del titular del suministro En febrero de 2012 se firma un contrato por escrito donde sí figuran instrucciones concretas. Actualmente el contrato firmado entre ambas empresas se encuentra disuelto desde el 15 de octubre de 2012. 1.3. Partec llegó a tener entre 70 o 75 comerciales con los que tenía firmado un contrato mercantil. A los comerciales se los captaba en la calle y sin recibir ninguna formación concreta sobre los tratamientos de datos personales que debían realizar comenzaban a comercializar los productos y servicios de Galp a puerta fría, sin recibir con antelación ningún dato personal de los potenciales clientes. En marzo de 2012 Galp elabora un código de conducta para los comerciales que remite a Partec y se incluye en el contrato mercantil que firmaban los comerciales que se incorporan a partir de esa fecha. 1.4. Partec entregaba en la sede de Galp en Alcobendas los contratos en papel que le entregaban sus comerciales,. Pasados unos 15 días, Galp abonaba a Partec el importe pactado por la confección de los mismos. Partec no se quedaba con copia de los contratos, únicamente recogía en un documento Excel el listado de los domicilios donde se habían firmado contratos para chequear el correcto pago por parte de Galp. Una vez cobrados los servicios, se destruía el citado documento. Actualmente, guardan copia de los documentos Excel últimos porque están pendientes de cobrar y están en proceso judicial C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 TERCERO: Con fecha 12 de abril de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la Entidad GALP ENERGIA ESPAÑA, S.A.U. y a la Entidad—PARTEC--, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (*en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3

1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€ de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad-- GALP ENERGIA ESPAÑA, S.A.U--. mediante escrito de fecha 06/05/13 formuló alegaciones, significando en la mejor forma que proceda en derecho que: “En ningún momento la Compañía ha pretendido un tratamiento ilícito de los datos del Sr. A.A.A.. La compañía entiende que la persona que firmó el contrato, Dª B.B.B., disponía de su autorización para firmar en su nombre, no dudando en absoluto de la representación de la persona que firma el contrato. El 26/12/11 el Sr. A.A.A. ejercita su derecho de desestimiento, en plazo, pero por un error en el sistema sólo se canceló el servicio de mantenimiento de confortgas. El resto de los servicios (electricidad y gas) se activaron. Actualmente, el Sr. A.A.A. no tiene ningún servicio activo con esta compañía, ni ninguna deuda pendiente. Sobre Partec Representaciones. A principios del año 2012, Galp comienza a tener dudas acerca de posibles contrataciones fraudulentas realizadas por algunas de sus empresas de fuerzas de ventas “Task-forces”, entre ellas, en concreto: Partec Representaciones S.L. Partec debería responder de las infracciones en que hubiera incurrido personalmente., puesto que entre sus obligaciones contractuales está la de recabar el consentimiento para el tratamiento de los datos personales y verificar la identidad de los titulares de los datos mediante exhibición de su DNI y acreditación de la representación. En cuanto a las medidas adoptadas por la Compañía para evitar situaciones futuras anómalas. Se realizaron 13.000 llamadas a aquellos clientes que negaban haber contratado o discrepaban de la contratación, a fin de ofrecer explicaciones y resolver las quejas; cancelar y reintegra las facturas del servicio. A todas aquellas personas con las que no se pudo contactar por esta vía se les envió una carta para que se pusieran en contacto con Galp. Revisión de todos los contratos con empresas de Task-forces y de la calidad de los servicios y cancelación de relaciones deficientes (…). Por todo ello solicita que se dicte Resolución de Archivo del presente procedimiento y por la que se exonere de toda responsabilidad a la presente Entidad”. -En fecha 20/05/13 la Entidad denunciada—PARTEC—alega como mejor proceda en Derecho lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 “Caducidad del Expediente. Según las copias íntegras obtenidas del expediente que nos ocupa con fecha 16/05, resulta que la primera notificación que obra en el expediente es la que nos ocupa, es decir, con fecha 30 de abril. Considerando que la denuncia fue presentada por el denunciante con fecha 16 de abril de 2012, resulta aplicable el plazo de caducidad establecido en el art. 122.4 del RD 1720/2007, de 21 de diciembre. Hechos que motivan este expediente. Según hace constar el reclamante en su escrito ante la OMIC del Ayuntamiento de Coslada, los hechos son los siguientes. -Con fecha 04/11/11 se presenta en su vivienda un comercial para ofrecer servicios de suministro de energía. - Se identifica al comercial como D. C.C.C.. - Según indica había acuerdo en la contratación de los servicios de luz y gas, pero no en la contratación de un servicio de mantenimiento. -Que el comercial se llevó facturas originales de gas y no rellenó el contrato en el momento. En cuanto al hecho de que la documentación fuera firmada por la mujer del reclamante, Dña. B.B.B. y la referencia P.O (por orden) que el denunciante refiere, esta práctica se realiza por instrucciones de Galp. Desde el inicio de la relación comercial con Galp y hasta mayo de 2012, las firmas de otras personas (familiares directos, cónyuges, inquilinos) distintas del titular del suministro eran una práctica admitida en la contratación por la Empresa. Falta de responsabilidad por Partec en la reclamación. El reclamante está de acuerdo con la contratación de los servicios de luz y gas, consintiendo de manera tácita la contratación realizad por su mujer. Resulta en todo caso un exceso de confianza de parte de Dña. B.B.B. la firma de un formulario de vinculación contractual como el que se le presenta prácticamente en blanco y sin verificar su contenido, partiendo del hecho de que el comercial que realiza la contratación era una persona que iba puerta por puerta. Por todo ello solicita el Archivo de las presentes actuaciones. QUINTO: Con fecha 11/06/2013 se procedió por el órgano de instructor a desestimar motivadamente la solicitud de prueba requerida por la Entidad denunciada—Partec Representaciones S.L—al considera innecesario la toma de declaración del comercial contratado para gestionar la contratación de los servicios. SEXTO: EN fecha 18/07/13 se procedió a emitir Propuesta de Resolución por parte del órgano instructor en dónde se proponía el Archivo del presente procedimiento, al considerar que nos encontrábamos ante un supuesto de “error inexcusable” a la hora de otorgar el consentimiento que produjo la contratación de los servicios con las Entidades denunciadas. SÉPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 Primero. En fecha 16/04/12 se recibe en esta AEPD reclamación del afectado en dónde pone de manifiesto que: “Contrato fraudulento, por parte de Galp Energía. Robo de documentación facturas. Omisión de documento de revocación de contrato y omisión de la reclamación interpuesta…”—folio nº 1--. En apoyo de su pretensión aporta factura emitida por la Entidad denunciada— Galp Energía—por importe de 81,83€ en dónde se plasman sus datos de carácter personal. Nombre: A.A.A., (C/....................1) (Madrid). Datos Bancarios: ***CCC.1.— folio nº 2--. Segundo. La Entidad denunciada—Galp Energía—a requerimiento de esta AEPD manifiesta en relación con el alta del contrato de suministro de gas formalizado en el domicilio del denunciante. “La comercialización de este contrato se realiza mediante visita al cliente y oferta de servicios a través de comerciales de forma personalizada”—folio nº 15--. Aporta copia del contrato, el cual está firmado por Doña B.B.B., de fecha 04/11/11 en representación—PO—del titular de los datos D. A.A.A.; en el mismo queda plasmada la firma de la referenciada hasta en cuatro ocasiones. ConfortGas Básico. Precio 70,44€ Firma Cliente B.B.B.. Tercero. En los sistemas de información de la Entidad denunciada—Galp Energía—constan los servicios contratados y sus respectivas fechas de alta y baja.    Gas: Alta 21/02/12 y fecha de baja 23/04/12. Luz: Alta 10/05/12 y actualmente en activo. Confortgas: Inactivo, no se dio de alta. Cuarto. El propio denunciante entre la documentación aportada—folio nº 5— aporta copia de la reclamación ante la OMIC del Ayuntamiento de Coslada de fecha 30/12/11 en dónde manifiesta y reconoce expresamente que: “El contrato lo firma mi mujer especificando el comercial en la firma P.O, que tampoco lo explicó. Se han interpuesto dos reclamaciones a la Empresa Galp Energia”. —folio nº 5--. En su reclamación ante la OMIC de sus palabras se infiere su conformidad con la contratación del gas y la electricidad. “En este contrato se incluían el gas y la luz, pero en ningún momentos se informó de que también se incluía el contrato de mantenimiento del gas con un importe total de 70€”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 Quinto. La contratación se realizó a través de la Entidad—Partec Representaciones S.L—en concreto a través del comercial D. C.C.C., con DNI nº ***DNI.1. La relación que vincula a Partec con el comercial es de carácter mercantil (relación entre dos empresarios independientes) “El agente se obliga frente a la Empresa a promover y concluir las operaciones especificadas por la empresa, por cuenta ajena”.—folio nº 214--. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso, se procede a examinar la reclamación de fecha 16/04/12 en dónde el epigrafiado manifiesta que: “Contrato fraudulento, por parte de Galp Energía. Robo de documentación facturas. Omisión de documento de revocación de contrato y omisión de la reclamación interpuesta…”—folio nº 1--. Entre la documentación aportada por el denunciante consta la copia del contrato de suministro, en dónde se plasma la firma de Doña B.B.B. , mediante la referida firma: “Autoriza expresamente a Galp Energia España S.A.U, para que actúe como sustituto a la hora de contratar el acceso a las redes con la Empresa Distribuidora, de tal forma que la posición de Galp Energía España S.A.U en el Contrato de acceso suscrito sea, a todos los efectos, la del cliente”. El propio denunciante en documentación aportada a esta Agencia –folio nº 5— reconoce que: “El contrato lo firma mi mujer especificando el comercial en la firma P.O, que tampoco lo explicó. Se han interpuesto dos reclamaciones a la Empresa Galp Energia”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 Por tanto, queda acreditado que el contrato de "Gas natural, electricidad y servicios” lo firmo Doña B.B.B. , esto es, la esposa del denunciante, dando todos los datos de carácter personal del mismo (vgr. Nombre, apellidos, nº de c/c, etc). El art. 3 letra
3. h)LOPD—LO 15/1999—define el consentimiento del interesado como “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado la Audiencia Nacional reiteradamente, entre otras en sentencia de 28 febrero 2007, Rec 236/2005, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. De los hechos denunciados se desprende claramente, que el denunciante era desconocedor de ciertas “condiciones” en la contratación, que por otra parte, tampoco le fueron informadas al titular de los datos, sino a la mujer de éste, que en modo alguno puede ser considerada la titular de los datos de carácter personal. La carga de acreditar la existencia del "consentimiento inequívoco" a que hace referencia el artículo 6.1 LOPD recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( SAN de 8 noviembre 2012, Rec 789/2010). En el caso que nos ocupa, existe una relación con tres elementos intervinientes, el comercial designado para ir a visitar a los titulares de los datos, explicarles detallada e informadamente el servicio/s a contratar (condiciones, características, etc), la Entidad encargada de seleccionar a los comerciales—Partec Representaciones S.L--, la cual una vez concluía la contratación enviaba toda la documentación a las oficinas de Galp Energía (responsable del fichero) y con posterioridad a la Entidad Unisono, designada por Galp para las funciones de backoffice (verificación de documentación). No aporta, ni la Entidad denunciada—Galp--, como responsable del fichero, ni la Entidad denunciada—Partec Representaciones S.L—, como encargada del tratamiento, documentación alguna que acredite el consentimiento inequívoco: DNI o documento de naturaleza similar. Tampoco se procede a aportar junto con el contrato algún tipo de “poder de representación” en dónde el afectado permitiese la utilización y tratamiento de sus datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 En sustento de lo anterior, basta traer a colación la SAN—08-06-2011 “Por tanto no es obligatoria copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de protección de datos en el que nos hallamos, como ya señalamos en la San de 27 de abril de 2006 (Rec. 54/2005) deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse a título de ejemplo, en la repetida copia del DNI, y que como hemos visto, no han sido adoptadas por la Entidad demandante”. Item, la SAN-10/06/2011- “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos (…)”. Por todo ello se considera que la Entidad denunciada—Galp-- no ha desplegado una “mínima” actividad diligente tendente a constatar que contaba con el consentimiento inequívoco del titular de los datos, vulnerando con ello el contenido del art. 6.1 LOPD. IV En el presente supuesto de hecho, se procede, igualmente, a la apertura de procedimiento sancionador a la Entidad –PARTEC--, por presunta vulneración del principio del consentimiento consagrado en el art. 6.1 LOPD. Antes de entrar a valorar la presunta conducta infractora de la Entidad denunciada—Partec—cabe señalar que la misma alega “Caducidad de las actuaciones”. El art. 122. Apartado 4º del RD 1720/2007 (RLOPD) dispone que: “Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. La fecha de entrada de la denuncia en esta AEPD es el día 16/04/12—folio nº 1--, siendo objeto de notificación administrativa el Acuerdo de Inicio del PS/00183/2013 el día 30/04/13—folio n 134—esto es: ha transcurrido el plazo máximo de 12 meses con lo que se habría producido la caducidad de las actuaciones previas. No obstante lo anterior, ha de tenerse en cuenta el art. 47 LOPD—LO 15/99— que establece el plazo de prescripción de las infracciones graves en 2 años desde la comisión de la infracción administrativa. A mayor abundamiento, el art. 92.3 Ley 30/92 (LRJ-PAC) dispone que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. Por consiguiente, se procede a declarar la caducidad de las actuaciones previas, si bien se podrá reiniciar el procedimiento sancionador frente a la citada Entidad —Partec-- al no haberse agotado el plazo de prescripción de la infracción que se le imputaba. Al respecto la Audiencia Nacional viene estableciendo (por ejemplo en su reciente Sentencia de 10 de julio de 2013) que “declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. En consecuencia, y al objeto de contrastar la adecuación de los hechos denunciados a la normativa en materia de protección de datos, se dan instrucciones a la Subdirección General de Inspección de Datos para que inicien nuevas actuaciones de investigación y se abra el expediente E/05831/2013, toda vez que los hechos objeto de denuncia y susceptibles de infracción administrativa no se encuentran prescritos. V Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). VI Por tanto, una vez examinada la documentación aportada y de conformidad con las argumentaciones esgrimidas, cabe concluir que la firma del contrato conteniendo los datos de carácter personal del afectado, se realizó por la mujer de éste: B.B.B. . –folio nº 4--. Item, su firma figura al lado de la activación del servicio ConfortGas Básico. Precio 70,44€. Firma Cliente: B.B.B.. El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
4. a)El carácter continuado de la infracción.
5. b)El volumen de los tratamientos efectuados.
6. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
7. d)El volumen de negocio o actividad del infractor.
8. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
9. f)El grado de intencionalidad.
10. g)La reincidencia por comisión de infracciones de la misma naturaleza.
11. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16
12. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
13. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
14. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
15. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
16. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
17. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
18. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “..no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. Las empresas que por su actividad están habituadas al tratamiento de datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 deben ser especialmente diligentes y cuidadosas al realizar las operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de dato (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). En cuanto a la Entidad denunciada—Galp Energía—una vez constatada la infracción del art. 6.1 LOPD, no contando con el consentimiento inequívoco del afectado y no realizando actividad alguna tendente a verificar el uso y tratamiento de los mismos, se procede a motivar el importe de la sanción a imponer. El principio de culpabilidad previsto en el art. 130.1 Ley 30/92, 26 de noviembre dispone que sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, “aun a título de simple inobservancia”. De conformidad con el relato fáctico, se tiene en cuenta el reconocimiento de la firma del contrato por Doña B.B.B. , si bien, no aporta copia del DNI, poder de representación, ni se realiza actividad de verificación alguna por parte de Galp. Este hecho hace tener en cuenta la aplicación del art. 45.5 LOPD, en concreto el apartado
19. a)del referido precepto. “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. El art. 45.4 LOPD—LO 15/99—contiene los criterios de graduación de las sanciones. En el presente caso, se tienen en cuenta:    La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. 45.4
20. c)LOPD. El volumen de negocios o actividad del infractor. 45.4
21. d)LOPD. A modo ilustrativo, los beneficios de la Entidad Galp en el año 2012 fueron de unos 359 millones de euros. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. 45.4
22. h)LOPD. Sobre una cuestión de naturaleza similar se ha pronunciado la Audiencia Nacional— SAN 06/10/11 Rec. 342/2010—al señalar que: “Debe concluirse que la aportación de datos personales por un pariente ó persona de confianza de aquel que, supuestamente, está contratando con la empresa suministradora, no puede entenderse como suficiente a la hora de entender prestado el consentimiento para el tratamiento de datos y ello pues lo relevante es el consentimiento del titular de los datos. Otra cosa es que, del mecanismo como se haya producido la contratación, pueda deducirse que se ha contando con el consentimiento del titular de los datos. En general, por tanto, lo relevante no puede ser otra cosa que la exigencia del consentimiento inequívoco para justificar el tratamiento de los datos personales. Por lo tanto, la culpabilidad de la empresa recurrente procede del hecho de que no se han puesto en marcha todas las medidas que hubieran permitido una mínima comprobación de que contaba con el consentimiento de la persona titular de los datos a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 quien se estaba dando de alta en el servicio en cuestión”. Item, como establece la Ley, es necesario tal consentimiento, y ello también se debe aplicar, por tanto, en los casos de datos facilitados por parientes, como ha resuelto esta Sala, entre otras, en la Sentencia de la Audiencia Nacional de 6 de octubre de 2011 (rec. 342/2010 ), fundamento de derecho 4.º: "La aportación de datos por un pariente o persona de confianza de aquél... no puede entenderse como suficiente a la hora de entender prestado el consentimiento... lo relevante es el consentimiento del titular de los datos". Por todo ello se acuerda imponer una sanción cifrada en la cuantía de 20.000€, sanción de carácter medio dentro de las infracciones leves, al proceder a tratar los datos del afectado sin su consentimiento, infringiendo con ello el contenido del art. 6.1 LOPD. En cuanto al resto de cuestiones denunciadas “Robo de documentación” o “presunta” actuación fraudulenta del comercial, se ha de matizar que esta Agencia carece de competencias sobre esos hechos, que deberán en su caso ser objeto de instrucción por el Juzgado del lugar en dónde se hayan cometido los hechos descritos anteriormente. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad--GALP ENERGIA ESPAÑA, S.A.U--., por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
23. b)de dicha norma, una multa de 20.000€ (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: DECLARAR la CADUCIDAD de las actuaciones previas de investigación frente a la Entidad denunciada-PARTEC REPRESENTACIONES S.L—señaladas con el número de E/03777/2012, procediéndose a su Archivo, y ORDENAR el inicio de una nueva fase de investigación para el esclarecimiento de los hechos denunciados en el marco del E/05831/2013. TERCERO: NOTIFICAR la presente resolución a la Entidad GALP ENERGIA ESPAÑA, S.A.U., así como, a la Entidad-- PARTEC REPRESENTACIONES S.L.,- y a Don A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es