PS-00204-2014

1/19 Procedimiento Nº PS/00204/2014 RESOLUCIÓN: R/01904/2014 En el procedimiento sancionador PS/00204/2014, instruido por la Agencia Española de Protección de Datos a la(

1. s)entidad(
2. es)GALP Energía España SAU, y PARTEC Representaciones S.L, vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: D. A.A.A. (en lo sucesivo el denunciante) frente a la Entidad Galp Energía España SAU (en lo sucesivo la denunciada) en el que denuncia de manera sucinta los siguientes hechos dentro del marco de la LOPD: “usurpación de datos personales (nombre, nif, etc) para realización de contrato de gas y electricidad sin consentimiento del usuario”—folio nº 1--. Tras reclamar ante la entidad le remiten copia de un contrato en el que según manifiesta el reclamante, la firma que figura está falsificada. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad Galp Energía España SAU, teniendo conocimiento de que: Los representantes de la entidad aportan copia de un contrato de suministros de gas, electricidad y servicios de mantenimiento suscrito a nombre de Doña B.B.B. en fecha 11/04/2012. Junto a este contrato no se ha recabado ningún documento de la cliente que permita acreditar su identidad. Según consta en el sistema de información de GALP:  el suministro de gas se ha dado de alta en fecha 23/04/2012 y baja por cambio de comercializadora 11/06/2012,  el suministro de electricidad se ha dado de alta en fecha 19/06/2012 y baja por cambio de comercializadora 19/03/2013  los servicios de mantenimiento se han dado de alta en fecha 17/04/2012 y baja 16/09/2012 para el mantenimiento de gas y 16/11/2012 para la baja del otro servicio de mantenimiento. Como consecuencia de los servicios prestados se han emitido 18 facturas, 11 de ellas han sido anuladas y 3 compensadas en fechas 11,20 y 29 de marzo de 2013. La contratación se ha realizado por medio del distribuidor PARTEC. En relación con las reclamaciones presentadas por la afectada, los representantes de GALP aportan: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19  copia de una reclamación ante la OMIC del Ayuntamiento de Madrid recibida en fecha 07/08/2012 en el que el cliente dice que sus datos se han obtenido de forma fraudulenta y no ha autorizado el cambio de comercializadora. Con fecha 08/08/2012 se responde por escrito indicando que en sus sistemas consta un contrato perfectamente cumplimentado y que proceden a cursar la baja a futura renovación a los contratos de mantenimiento Confortgas y Conforthogas. En este escrito le comunican que debe ser el cliente el que solicite el cambio de comercializadora de suministro eléctrico, ya que el suministro de gas ya ha modificado la comercializadora.  Copia de un escrito recibido en fecha 25/06/2012 en el que el cliente manifiesta que se presentó un comercial en su domicilio y le dejó un contrato pero que no firmó nada. Con fecha 17/09/2012 le envían contestación manifestando que figura un contrato con su firma, y que no obstante dan de baja los contratos Confortgas y conforhogar a futuras renovaciones y le adjuntan copia del contrato supuestamente firmado por ella.  Con fecha 09/10/2012 se recibe un nuevo escrito indicando que no reconoce su firma en el contrato que le han enviado. Con fecha 23/10/2012 responden por escrito indicando que con fecha 22/10/2012 se ha tramitado la baja de los servicios de mantenimiento, estando cesado el servicio Confortgas y Conforthogar seguirá vigente hasta 16/11/2012.  Con fecha 11/03/2013 se recibe escrito del cliente indicando que el contrato se ha realizado de forma fraudulenta. En esta misma fecha se gestiona como alta fraudulenta por la entidad, se anulan las facturas con servicios de mantenimiento y se generan nuevas facturas con los consumos energéticos.  Con fecha 22/04/2013 se recibe escrito del cliente indicando que no está conforme con la facturación y ha devuelto la factura. Este mismo día se cancela la deuda TERCERO: Con fecha 7 de abril de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las entidades GALP Energía España SAU y PARTEC Representaciones S.L, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (*en lo sucesivo LOPD), tipificadas como infracción grave en el artículo 44.3
3. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad GALP Energía España SAU, mediante escrito de fecha 05/05/14 formuló alegaciones, significando de manera sucinta lo siguiente: De la infracción imputada. Que la infracción del art. 6.1 LOPD se ha producido como consecuencia del tratamiento de los datos de Doña B.B.B. sin disponer de su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 Del tratamiento de los datos del denunciante. Que la incorporación de los datos del denunciante a los sistemas de Galp se llevó a cabo tras la recepción de un contrato a nombre del mismo gestionado por la Entidad-Partec Representaciones S.L--. Cancelación de la deuda y de los datos personales del denunciante. La Compañía no sólo ha procedido a dar de baja los datos del denunciante, sino que ha procedido a cancelar sus datos personales transmitidos a la base de datos de la Compañía y a la anulación de cualquier posible deuda que mantuviera con la misma, como así se le comunicó mediante burofax de fecha 28 junio del año 2013 (…). Reconocimiento voluntario de la responsabilidad. La compañía mantiene que la contratación presuntamente fraudulenta habría sido llevada a cabo por Partec, como encargado del tratamiento, respecto de lo cual, Galp defenderá sus intereses en las instancias jurisdiccionales competentes. Galp se aviene a reconocer el tratamiento inconsentido de los datos del denunciante del presente procedimiento. QUINTO: Con fecha 13/05/14 se reciben en esta AEPD las alegaciones de la Entidad denunciada—Partec-- en dónde pone de manifiesto lo siguiente: Prescripción de los hechos. En la página 2 de la notificación del Acuerdo de Inicio del PS/00240/2014 la AEPD dice que: “Los representantes de la Entidad aportan copia de un contrato de suministro de gas, electricidad y servicios de mantenimiento suscrito a nombre de Doña B.B.B. en fecha 11/04/2012”. Esta parte ha tenido conocimiento de la presente notificación del Acuerdo de Inicio del PS por una presunta infracción del art. 6.1 LOPD, tipificada como infracción grave, en fecha 23 de abril de 2014, es decir, después de transcurridos más de dos años desde que se cometió la presunta infracción, ya que el contrato se suscribió el 11/04/2012. Por tanto, la cuestión formal expuesta impide la continuación de las actuaciones por lo que solicitamos la prescripción del presente procedimiento sancionador. SEXTO: Con fecha 20/06/14 se inició el período de práctica de pruebas, en el que se da por reproducida la denuncia presentada y la documentación anexa a los efectos legales oportunos; se procede a incorporar el contrato de fecha 15/02/12 suscrito entre las Entidades-Galp—y –Partec—y se procede a solicitar información adicional a la Entidad denunciada—Galp--. En fecha 25/06/14 la Entidad denunciada—Galp—procede a responder en tiempo y forma al requerimiento de prueba efectuado. SÉPTIMO: En fecha 27/06/14 se emite propuesta de Resolución en dónde el órgano instructor tras la valoración de los hechos y pruebas practicadas decide proponer una sanción de 20.000€ a la Entidad-Galp—por la infracción del art. 6.1 LOPD, así como, una sanción cifrada en la cuantía de 3.000€ por la infracción del contenido del art. 6.1 LOPD a la Entidad (Task forcé)—Partec Representaciones S.L--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 OCTAVO: Con fecha 22/07/14 se recibe en esta AEPD escrito de alegaciones de la Entidad denunciada—Galp Energía—a la propuesta de Resolución de fecha dónde pone de manifiesto lo siguiente: De la proporcionalidad de la propuesta de sanción y la falta de motivación de la misma. La AEPD se limita a enumerar los criterios que considera concurren en caso sin motivar su aplicación. Dejando así a la libre interpretación de las Entidades el motivo de aplicación de los mismos, esta parte considera: No se comprende porqué en el caso de Partec da como resultado una propuesta de 3.000€, teniendo en cuenta que este último es el responsable material de la contratación fraudulenta. La situación en la que se encontraba la compañía frente a las irregularidades en la actuación de las Task force era excepcional, com ya se ha puesto en conocimiento de la AEPD, adoptando las medidas oportunas para que estas incidencias no vuelvan a ocurrir. En relación con el volumen de negocio, si se entiende que en el caso de Partec se pueda tener en consideración para imponer una sanción inferior. No obstante, este criterio no debe ser el único que se valore a la hora de su propuesta. En relación con la naturaleza de los perjuicios causados, claramente son los mismos en ambos casos. Los perjuicios son los que son y no puede considerarse de una manera en el caso de Galp y de otra en el de Partec. De los criterios del art. 45.4 LOPD aplicables. La propuesta de Resolución tras valorar los criterios de graduación del art. 45.4 LOPD anteriormente citados y estimar que concurre una de las circunstancias del art. 45.5 LOPD, concretamente el el reconocimiento de la responsabilidad en la comisión de la infracción por parte de Galp, propone una sanción de 20.000€. Galp desea poner de manifiesto que existen determinados criterios y circunstancias que no han sido tomados en consideración a la hora de graduar la sanción:    Referente a los beneficios obtenidos, que no han existido al haberse anulado las facturas y además ha supuesto un daño considerable a su imagen pública (art. 45.4 e LOPD). Referente al grado de intencionalidad al tratarse de una contratación realizada por el encargado del tratamiento por lo que no se puede apreciar intencionalidad alguna en el caso de la compañía (art. 45,4 f LOPD). Referente a la naturaleza de los perjuicios ocasionados, que no han sido económicos, ya que se han anulados todas las facturas, no existe deuda pendiente y sus datos se han cancelado y bloqueado (art. 45.4 h LOPD). NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 Primero. Con fecha 08/05/13 tiene entrada en esta AEPD reclamación del afectado en dónde pone de manifiesto lo siguiente: “Usurpación de datos personales (Nombre, NIF, nº de c/
4. c)para realización de contrato de gas y electricidad sin consentimiento del usuario (…)”-folio nº 1--. Segundo. Queda acreditado que la Entidad-Galp—ha procedido a tratar los datos personales de la afectada mediante la emisión de facturas que están registradas en sus sistemas de información.—folios nº 37 a 67--. Tercero. Queda acreditado que en el sistema de información de la Entidad denunciada-Galp—existe documento contractual el cual no está acompañado del DNI del titular de los datos o documento de naturaleza similar.(folios nº 28, 29 y 30). De la mera comparación ocular de las firmas, sin perjuicio de dictamen pericial en contrario, las mismas no son coincidentes (folio nº 1 y 28). Cuarto. Queda acreditado que en los sistemas de información de la Entidad denunciada—Galp—están registradas las reclamaciones del afectado en contra de la contratación efectuada. “Recibimos reclamación con fecha 06/08/12 OMIC Ayto. Madrid…el cliente dice que no ha dado su consentimiento para el cambio de comercializadora y que los datos del mismo se han obtenido de forma fraudulenta. Fecha 07/08/12—folio nº 71--. “Afirma que no reconoce su firma en el contrato que le hemos enviado y que no se corresponde con nadie de su familia por el considera que el alta es un fraude. Fecha 22/10/12—folio nº 75--. Quinto. Queda acreditado que la Entidad encargada de la formalización del contrato fue-Partec Representaciones S.L--, la cual a su vez actuó por medio de “comercial” bajo su supervisión-folio nº 109--. Esta Entidad no está en disposición de aportar documento/s que acredite que contaba con el consentimiento del titular de los datos, ni realizó actividad de verificación alguna tendente a constatar el alta/s consentida e informada de los servicios supuestamente contratados. Sexto. En el contrato firmado en fecha 15/02/12 por D. C.C.C. en nombre y representación de la Entidad Partec Representaciones S.L se asumen las siguientes obligaciones: “Es objeto del presente Acuerdo regular los términos y condiciones que van a regir en la prestación por parte del PROVEEDOR de los servicios de promoción comercial y fuerza de ventas de los productos y servicios ofrecidos por Galp Energía (“en adelante los “servicios”).—. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 “Deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo y, en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente sobre protección de Datos de carácter personal y sobre protección de los consumidores y usuarios”—. “Se compromete a cumplir y hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp (…)—. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras, la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”.—. Séptimo. Queda acreditado de la documentación obrante en el expediente que la Entidad encargada del tratamiento—Partec—estaba en disposición de los datos del afectado en fecha 17/04/11.—folio nº 34-FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II Antes de entrar en el fondo del asunto es necesario entrar a valorar la solicitud de la Entidad denunciada—Partec Representaciones S.L--: relativa a la prescripción de la infracción. En la documentación contenida en el Expediente administrativo consta la firma del contrato realizado por el “comercial” bajo la supervisión de la Entidad denunciadaPartec--: 11/04/12—abril 2012--. A mayor abundamiento consta en la documentación aportada (folio nº 34) que en fecha 17/04/12 la Entidad denunciada-Partec—sigue en disposición de los datos del afectado. Por tanto, si bien el contrato tiene como fecha de firma por parte del denunciante —11/04/12—la entrega por parte del comercial a la Entidad denunciada—Partec— “encargada del tratamiento” se realiza en una fecha posterior a la indicada, constado al menos un tratamiento de los datos del afectado en fecha 17/04/12. A mayor abundamiento, la Entidad denunciada—Galp—en fase de prueba confirma que la recepción del documento contractual se produjo en fecha 17/04/12 con alta definitiva en los sistemas de información de esta en fecha 23/04/12; por lo que no ofrece dudas que la Entidad Partec estaba en disposición física del documento contractual. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 El art. 47 LOPD—LO 15/99—dispone lo siguiente en relación al “prescripción” de la infracción: “Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año”. Con fecha 07/04/14 se procede a emitir por parte del Director de la AEPD Acuerdo de Inicio del PS/00204/2014 siendo objeto de notificación a través del Servicio Oficial de Correos en el domicilio fijado a efectos administrativos por la Entidad denunciada: (C/...................1)—Madrid--. En el Expediente administrativo consta el acuse de recibo emitido por el Servicio Oficial de Correos con un primer intento de notificación en el domicilio administrativo señalado por el denunciado—14/04/14—con la indicación “Ausente” y un segundo intento de notificación de fecha--16/04/14-- con la indicación “Ausente” siendo objeto de retirada por el propio denunciado en la Dependencia de Correos correspondiente en fecha 23/04/14. Cabe traer a colación el siguiente pronunciamiento del Alto Tribunal—STS 3 de diciembre del año 2013— la acreditación del intento de notificación “no forma parte del plazo que ha de computarse al efecto a que se refiere ( de entender cumplida la obligación de notificar dentro del plazo máximo de duración del procedimiento) sino que es solo una exigencia de constatación; de suerte que el período de tiempo que transcurre entre la fecha del intento y la posterior en que se hace constar en el expediente su frustración, no prolonga aquel plazo”. Por tanto se debe tener en cuenta que “el intento de notificación queda culminado, a los efectos del artículo 58.4 de la Ley 30/1992, en la fecha en que se llevó a cabo”. De conformidad con lo expuesto la Entidad denunciada—Partec—estaba en disposición física del contrato, tratando los datos personales del afectado, en fecha— 17/04/12, siendo objeto de notificación el Acuerdo de Inicio del PS/00204/2014 en fecha 14/04/14; por lo que no han transcurrido los dos años marcados legalmente. De conformidad con lo expuesto el motivo alegado por la Entidad denunciada— Partec Representaciones S.L—ha de ser desestimado al no considerarse en Derecho prescrita la presunta infracción administrativa cometida. III En el presente caso se procede a examinar la reclamación de fecha 08/05/13 en dónde el epigrafiado pone de manifiesto lo siguiente: “…datos obtenidos sin mi consentimiento para realización de contrato de gas y electricidad”—folio nº 1--. Se procede a analizar si los “hechos” denunciados suponen una presunta vulneración del contenido del art. 6.1 LOPD, que consagra el principio del consentimiento en el marco de la LOPD: como derecho del afectado a consentir de manera inequívoca sobre el uso y tratamiento de sus datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 Como medio de prueba presenta la Entidad denunciada—Galp—copia del “presunto” contrato firmado por el afectado—folios nº 28,29 y 30—si bien no se aporta ningún tipo de documentación acreditativa de la identidad del afectado (vgr. DNI o documento de naturaleza similar) o de la persona autorizada. Asimismo, no consta aportado ningún documento que acredite el consentimiento expreso del afectado (vgr. DNI o documento de naturaleza similar) ni consta acreditado que por la Entidad—Galp—se haya realizado actividad alguna de comprobación de la identidad del titular de los datos en orden a la activación de los servicios “presuntamente” contratados. La infracción cuya comisión se atribuye a la entidad denunciada—Galp--consiste en el tratamiento de datos personales del denunciante sin su consentimiento, mediante su incorporación a sus ficheros como titular de los contratos anteriormente mencionados y la emisión de facturas por los distintos consumos de los servicios a cargo de éste. El art. 3
6. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Pero, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). En el presente caso, el afectado niega en todo momento haber dado consentimiento alguno para el alta de los servicios, que son objeto de facturación por la Entidad denunciada—Galp—“por supuestos contratos que en modo alguno he formalizado” (folio nº 1). Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 Interpretación ésta que es la más acorde con lo dispuesto no solo en el citado art. 6.1 de la LOPD , sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Existe una consolidada Jurisprudencia de la Audiencia Nacional en casos similares al que nos ocupan: -SAN 10/06/11 “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más la firma del contrato se corresponde con la inquilina de la vivienda”. -SAN 18/03/11 “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de servicios S.A no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos y, ello sin perjuicio de la responsabilidad en que pueda haber incurrido la distribuidora Avanza respecto de la hoy recurrente”. -SAN 06/10/11 “No ha podido acreditar el cumplimiento de las exigencias mínimas impuestas por la diligencia normal en la contratación telefónica que habrían obligado a conservar y custodiar la documentación personal del cliente (DNI, pasaporte) o haber acreditado alguna actividad posterior a la contratación para verificar la realidad de esta; ni se uso la técnica de la llamada de comprobación ni se cotejó mínimamente la documentación remitida por la Empresa comercializadora exigiendo la entrega de una simple fotocopia del DNI”. Así las cosas, no consta que los datos de carácter personal del denunciante, materializado en la contratación de los servicios referenciados (vgr. Gas natural, electricidad, etc), se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
7. b)de la LOPD, no habiendo probado nada al respecto la parte actora, y no encontrándonos en ninguno de los supuestos contemplados en el art. 6.2 de la LOPD en los que no es preciso el consentimiento del afectado. Por consiguiente, se ha de concluir que existe culpa o falta de diligencia que se aprecia en el caso que nos ocupa, al haberse realizado el tratamiento de los datos personales del denunciante sin su consentimiento, por lo que, considera esta AEPD, que resulta acreditada la infracción atribuida a la Entidad denunciada—Galp Energía--, que procedió a dar validez a un contrato sin firma, procediendo al tratamiento de los datos de éste sin su consentimiento expreso e informado. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19 En cuanto a la Entidad denunciada—Partec Representaciones S.L—la misma según se desprende de la documentación aportada “es un prestador de servicio de fuerza de ventas de Galp Energía España S.A.U”. Dentro del marco de la Legislación vigente en materia de protección de datos ocuparía la figura de “encargado del tratamiento”. El art. 3 letra
8. g)LOPD—LO 15/99—define la figura del encargado del tratamiento de la siguiente manera: “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el caso que nos ocupa, la Entidad Partec a su vez encargo la realización y toma de los datos a un agente comercial bajo su dirección organizativa siendo la relación entre ambos de carácter mercantil. “El agente se obliga a actuar lealmente y de buena fe velando por los intereses de Partec Representaciones S.L por cuya cuenta actúa, en el ejercicio de la actividad encomendada”. Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía—(vgr. aportado en el PS/00183/2013). A saber: “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado”. La Entidad denunciada—Partec—no está en disposición de aportar copia del DNI o documento de naturaleza similar que acredite de forma fehaciente que contaba con el consentimiento inequívoco e informado del titular de los datos. Item, por parte de la Entidad denunciada—Partec-- no se procede a explicar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/19 “cuáles son las funciones de comprobación de la documentación” aportada por el comercial, sin que conste acreditado que hubieran adoptado medida alguna para tratar de verificar la identidad y autenticidad de los datos personales plasmados en el “presunto” contrato. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo) sin que corresponda a esta Agencia el análisis de su relación con el comercial correspondiente. “…que los administradores incumplieron las obligaciones que se derivan de la LSA (…) no actuando con la diligencia exigible a un ordenado comerciante…no debió aceptar el cargo para el que se le nombraba, o bien renunciar al mismo por falta de contenido material, pues la Legislación es clara sobre las obligaciones que pesan sobre los administradores, las cuales no desaparecen aunque sean otras personas la que llevan la efectiva gestión de la Empresa” –STSJ Asturias 24/05/2006--. Sobre la responsabilidad de las Entidad/es “encargadas del tratamiento” como es el caso de --Partec Representaciones S.L-- se ha venido a pronunciar, igualmente, la Audiencia Nacional. “Por tanto, el hecho de que la responsable del tratamiento y del fichero sea Endesa Energía y en esa condición tenga la obligación de asegurarse que contaba con el consentimiento de la denunciante para tratar sus datos de carácter personal, no exime a la recurrente como encargada de la captación de nuevos clientes del servicio de suministro eléctrico y de la formalización de la solicitud de suministro de gas natural facilitada por Endesa, de la obligación de realizar un mínimo trabajo de supervisión que, como señala la AEPD, permita detectar y controlar la regularidad de la recogida de datos por parte de sus agentes. Se trata de responsabilidades (la de Endesa Energía e Intecas) no excluyentes sino plenamente compatibles, conforme viene reiterando esta Sala en supuestos similares”. Por tanto queda acreditado que la Entidad-Partec—ha tratado datos de carácter personal sin diligencia en la obtención del consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energía o la posible repercusión a los “comerciales” bajo su dirección organizativa. En interpretación del art. 6.1 LOPD, la Audiencia Nacional ha venido manteniendo de forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento de inequívoco. Por todo ello, se considera que ha infringido el contenido del art. 6.1 LOPD y no puede esgrimir un desconocimiento de la normativa vigente en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/19 V Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/19 hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido. VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/19 e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. En el presente caso, la Entidad denunciada—Galp—procedió al alta de varios servicios (Gas, electricidad, Confortgas básico y Conforthogar) sin contar con el consentimiento inequívoco del titular de los datos. A mayor abundamiento, no dispone en sus sistemas copia/fotocopia del DNI o NIE del afectado, ni acredita haber realizado actividad alguna de verificación de la identidad del titular de los datos. La infracción apreciada consiste en tratar los datos de carácter personal con vulneración del principio del consentimiento consagrado en el artículo 6 de la LOPD, que dispone "1.-El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". Dicha infracción se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, apreciándose en el supuesto de autos una falta de diligencia en la actuación de Galp Energía al no haber realizado las verificaciones oportunas para constatar si la denunciante había prestado realmente su consentimiento para darle de alta en el servicio y tratar en definitiva sus datos personales. El art. 54 de la Ley 30/92, 26 de noviembre dispone que: “Serán motivados, con sucinta referencia de hechos y fundamentos de derecho:
19. a)Los actos que limiten derechos subjetivos o intereses legítimos”. A la hora de motivar la sanción a imponer a la Entidad—Galp Energía—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. 45. 4
20. c)LOPD. Galp es una Entidad habituada al trato con los “potenciales” clientes en el suministro de gas, electricidad y otros servicios, que viene a facturar tratando los datos de carácter personal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/19 de los afectados.  El volumen de negocios o actividad del infractor. Con carácter ilustrativo, Galp obtuvo de beneficio líquido en el año 2012 unos aproximadamente 359 millones de euros. 45. 4
21. d)LOPD.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
22. h)LOPD. Como resumen, de lo expuesto, ha quedado acreditado que la Entidad denunciada—Galp-- no contaba con el “consentimiento inequívoco” del afectado, la firma que consta en el contrato aportado no se corresponde con la del afectado (folio nº 28 y 30); no se procedió a realizar actividad de verificación alguna (vgr. llama de bienvenida, envió de copia del contrato para ser debidamente cumplimentado, adjuntar copia del DNI, etc). La Entidad denunciada—Galp—tiene la naturaleza jurídica de “responsable del fichero” (art. 3
23. d)LOPD), ha procedido a tratar los datos del afectado mediante la emisión de facturas (folios nº 37 a 67); se trata de una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que debe ser especialmente cuidadosa con dichos tratamientos y, finalmente, a pesar de las reclamaciones del afectado, que constan en los sistemas de información “ la capacidad de respuesta de la misma fue claramente negligente. El principio de proporcionalidad de las sanciones comporta, según reiterada jurisprudencia del Tribunal Supremo, véase STS de 12 de abril de 2012 (Rec. 5149/2009) , entre otras, que debe existir una debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, como dispone el número 3 del artículo 131 de la citada LRJPA . Al margen de su condición de responsable del tratamiento de los datos personales, la emisión por Galp Energía de facturas por el suministro de energía eléctrica contra el denunciante tras haber resuelto el contrato con la entidad comercializadora Partec, cualifica especialmente la gravedad de su conducta infractora. Cabe traer a colación a modo de ejemplo, el siguiente pronunciamiento de la Audiencia Nacional—SAN 22/07/14 (Rec. nº 377/2013) que justifica la diferente sanción a imponer al responsable del fichero y al encargado del tratamiento, plenamente aplicable al caso que nos ocupa: “El hecho de que Contec fuera sancionada con multas de menor importe no desvirtúa la conclusión alcanzada, pues su responsabilidad como encargada del tratamiento de los datos de los denunciantes difería sustancialmente de la de Naturgas, por cuya cuenta operaba aquella en la promoción y venta de sus productos, siendo con la parte demandante con la que se entablaba la relación contractual respecto del suministro de energía eléctrica que había de justificar el tratamiento de los datos personales” En igual sentido se ha pronunciado la Audiencia Nacional en las Sentencias de 7 de febrero -Rec.77/2013 - y 11 de abril -Rec. 127/2013- de 2014. La Entidad denunciada—Galp--- en las alegaciones al Acuerdo de Inicio del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/19 PS/00204/14 en fecha 05/05/14 procede al reconocimiento voluntario de la responsabilidad, motivo por el que se procede aplicar el art. 45.5
24. d)LOPD. “Cuando el infractor haya reconocido espontáneamente su culpabilidad” Por todo ello se acuerda imponer a la Entidad—Galp Energía—una sanción cuya cuantía se cifra en la cantidad de 20.000€., sanción que se considera proporcionada a la gravedad de la infracción cometida sin que se aprecien razones que justifiquen una disminución de la misma, teniendo un carácter medio en la escala de las infracciones leves. En cuanto a la Entidad denunciada—Partec—“encargada del tratamiento” (art. 3
25. g)LOPD) ha quedado acreditado durante la instrucción del presente procedimiento, que la misma a través de un comercial “encargado de concluir las operaciones especificadas por la empresa, por cuenta ajena” procedió a dar de alta un contrato de suministro de gas, electricidad y mantenimiento de servicios, sin contar con el consentimiento inequívoco del mismo. No cabe duda que el comercial tiene una serie de obligaciones contractuales “El agente solicitará siempre la confirmación de venta al Cliente con el fin de verificar que ha entendido perfectamente los productos/servicios contratados, así como, el coste o repercusión económica de los mismos”. Por tanto, nos encontramos, con una serie de relaciones contractuales: Galp-Partec y, a su vez, Partec-Comercial teniendo todos que cumplir fielmente con la normativa vigente en materia de protección de datos, a la hora de comprobar y constatar que se cuenta con el consentimiento inequívoco del titular de los datos, con un mayor responsabilidad que duda cabe de las dos Entidades denunciadas en su condición de: responsable del fichero y encargada del tratamiento. Así pues, independientemente de los términos de los contratos suscritos entre sí por las dos empresas afectadas, lo que debe concluirse es que cuando cualquier de ellas lleva a cabo el tratamiento de los datos personales debe garantizar el cumplimiento de las exigencias de consentimiento En el presente caso, el contrato no ha sido firmado por el titular de los datos, no se aporta copia del DNI o documento de naturaleza similar, no se realiza actividad de comprobación alguna, ni por la Entidad responsable del fichero—Galp--, ni por la entidad encargada del tratamiento—Partec— y el nº de cuenta corriente aportado no está vinculado al afectado. Las obligaciones de la Entidad encargada del tratamiento—Partec—estan claramente delimitadas en el Acuerdo entre Galp-Partec de fecha 15/02/12, que procedemos a reproducir: “cumplir todas las obligaciones previstas en la Legislación aplicable y, en particular deberá cumplir con las obligaciones previstas en la Legislación vigente sobre protección de Datos de carácter personal (…)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/19 La actuación de los “comerciales” entra dentro de lo que podríamos considerar con “matices” una responsabilidad in vigilando puesto que como encargado del tratamiento debía verificar que la documentación que se le presentaba por los “comerciales” era conforme a la LOPD: esto es, que contaba con el consentimiento informado del afectado. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo). Por tanto queda acreditado probado que la Entidad-Partec—ha tratado datos de carácter personal sin el consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energia. A tenor de lo expuesto, queda acreditada indubitadamente la comisión de la infracción descrita en el art. 44.3
26. b)LOPD por parte de la Entidad—Partec Representaciones S.L--. Recuérdese que las sanciones administrativas son imputables no sólo a título de dolo o culpa sino incluso de “mera inobservancia” –art. 131 Ley 30/92 RJ-PAC—y, por tanto, la Empresa Partec Representaciones S.L, no ha podido probar la obtención del consentimiento del afectado, por lo que debe considerarse vulnerado el principio del consentimiento regulado en el art. 6.1 LOPD. El art. 45.5 LOPD establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos (…)”. En concreto, se tiene en cuenta la aplicación del art. 45.5 letra
27. a)de la LOPD “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer a la Entidad—Partec—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal.—45-4
28. c)LOPD--.  El volumen de negocios o actividad del infractor.—45.4
29. d)LOPD--.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.—45.4
30. h)LOPD--. En el caso de la Entidad denunciada—Partec—la misma ostenta desde el punto de vista de su naturaleza jurídica, la condición de “encargado del tratamiento” (art. 3
31. g)LOPD; está ha realizado una actividad de mero transmisor de la documentación obtenida de los “comerciales” con los datos de carácter personal del afectado/s; el volumen de negocio de la misma es considerablemente inferior a la Entidad— responsable del fichero—(Galp): 3.006€ de capital social desembolsado según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/19 anotación del Registro Mercantil debidamente consultada por esta AEPD; dispone de una menor práctica y conocimiento en la materia de protección de Datos que una gran compañía habituada al tráfico jurídico con datos personales. Por todo ello se acuerda imponer a la Entidad denunciada—Partec Representaciones S.L—una sanción que se cifra en la cuantía de 3.000€., sanción que por su cuantía se establece dentro de la escala de las infracciones leves. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad --GALP Energía España SAU--, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
32. b)de dicha norma, una multa de 20.000€ (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad –PARTEC Representaciones S.L --, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
33. b)de dicha norma, una multa de 3.000€ (tres mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a las Entidades --GALP Energía España SAU--, y ---PARTEC Representaciones S.L-- y a Don A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/19 Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es