PS-00232-2014

1/15 Procedimiento Nº PS/00232/2014 RESOLUCIÓN: R/01876/2014 En el procedimiento sancionador PS/00232/2014, instruido por la Agencia Española de Protección de Datos a la entidad--NATURGAS ENERGIA COMERCIALIZADORA, SAU--, vista la denuncia presentada por Doña A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Dña. A.A.A. (en lo sucesivo la denunciante). frente a la Entidad NATURGAS ENERGIA COMERCIALIZADORA, SAU (en lo sucesivo el/la denunciado/

1. a)en el que denuncia de manera sucinta lo siguiente: “A mediados de abril 2012 recibo en mi domicilio y a mi nombre factura emitida en fecha 05/04/12 de la compañía HC Energía en concepto de suministro de gas (…). En ningún momento suscribí contrato de prestación de servicios de gas con dicha compañía”-folio nº 1--. “A mediados de mayo 2012 recibí notificación de impago de fecha de emisión 09/05/12 de HC Energía, reclamándome el pago de la factura citada anteriormente por importe de 30,95€ (Doc. Nº 5)”. “A finales de julio de 2012 recibí notificación de impago de fecha de emisión del 10/07/2012 de HC 33,03€ y la cual yo no recibí en ningún momento (Doc. Nº 6)”. “A finales de septiembre 2012 recibí factura nº ***FACTURA.1 emitida el 11/09/2012 por Gas natural en concepto de consumo de gas del periodo 12/06/12 al 11/08/12 de 44,89€, factura domiciliada y pagada—Doc. Número 7—“. “He recibido posteriormente del Despacho de Abogados Oriola Abogados Asociados reclamaciones de pago de las dos facturas anteriormente mencionadas (Doc. Nº 8 y 9)”. “He recibido reiteradas llamadas telefónicas del citado Despacho de Abogados reclamándome el pago de las facturas y ayer me dijeron que me incluían en ficheros de morosos” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad/es HIDROCANTABRICO ENERGIA S.A.U. y a la Entidad NATURGAS ENERGIA COMERCIALIZADORA, SAU, teniendo conocimiento con fecha 13/06/2013 de que: 1. En el contrato aportado por la denunciante suscrito con HC ENERGIA figura firmado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 por las empresas HIDROCANTABRICO COMERCIALIZADORA SAU. ENERGIA SAU y/o NATURGAS 2. Con fecha 3 de junio de 2013, se solicita a HIDROCANTABRICO ENERGÍA SAU información relativa a A.A.A. con DNI ***DNI.1 y con fecha 13 de junio de 2013 se recibe escrito de contestación de esta compañía indicando que ésta compañía únicamente comercializa electricidad y que la empresa del grupo que comercializa gas es NATURGAS ENERGIA COMERCIALIZADORA SAU. “Que la Empresa del Grupo EDP, al que pertenece mi representada, que comercializa gas es Naturgas Energía Comercializadora, a la que damos traslado de su solicitud de información a los efectos oportunos”,. 3. Con fecha 18 de junio de 2013, se solicita a NATURGAS ENERGIA COMERCIALIZADORA SAU información relativa a A.A.A. con DNI ***DNI.1 sin haberse recibido contestación. TERCERO: Con fecha 28 de abril de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la Entidad NATURGAS ENERGIA COMERCIALIZADORA, SAU, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (*en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3
2. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad --NATURGAS ENERGIA COMERCIALIZADORA, SAU-- mediante escrito de fecha 30/05/14 formuló alegaciones, significando de manera sucinta lo siguiente: Primero. En relación con el asunto que aquí nos ocupa es necesario resaltar que los “hechos” denunciados que se encuentran bajo una instrucción penal, derivada de la denuncia presentada por ésta en el Cuerpo Nacional de Policía, en la Dependencia de Madrid-Latina. Segunda. Esta parte realiza una narración sucinta de los hechos más relevantes a los efectos del procedimiento sancionador de referencia:  Que la única contratación realizad por la interesada con EDP es la relativa al servicio del Gas, suministrado pacíficamente bajo el contrato de fecha de alta 11/01/12 y fecha de baja 10/05/12.  EDP le envió copia del contrato firmado a su domicilio y cuando la denunciante tramitó de nuevo el cambio de Compañía suministradora a Unión Fenosa, EDP procedió a tramitar el cambio y dio de baja a la Denunciante con fecha 10/05/12. Tercera. La contratación de los servicios de suministro de gas por parte de la Denunciante a EDP, se produce a través de la subcontrata autorizada por ésta, esto es, REGIO. Cuarto. Que durante el periodo en el que se prolongó la prestación de servicios se hizo un uso pacífico de los servicios. Es decir, queda claro que existe un consentimiento tácito de la Denunciante, al hacer uso de los servicios contratados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 Y en el caso de que la firma no sea suya, como pretende hacer creer la Denunciante, serán los Juzgados de lo Penal, conocedores de los hechos, los que tendrán que clarificar los mismos, para que llegado el caso dicten Resolución, dónde se aclare si la firma del contrato es o no de la denunciante, y en caso de no serlo, quién es el responsable de esa supuesta falsificación. Quinta. En todo caso y como queda claro a la vista de lo expuesto, se puede afirmar que de ninguno de los hechos reflejados en el Acuerdo de Inicio se infiere de la existencia por mi mandante de ningún ánimo defraudatorio y dejamos acreditado que la realidad es más bien la contraria. Sexta. Por último esta parte quiere señalar como medidas probatorias, toda la documentación que obre en el Expediente de referencia, así como, la aportada por esta parte en el escrito de contestación de requerimiento de información con número E/1920/2014 QUINTO: Con fecha 07/07/14 se inició el período de práctica de pruebas, en el que se da por reproducida a efectos probatorios la reclamación presentada ante esta AEPD y la documentación anexa que la acompaña; así como, las alegaciones de la Entidad denunciada—Naturgas--y la documentación presentada en apoyo de sus argumentaciones. SEXTO: Con fecha 08/07/14 se emite por el órgano instructor asignado al PS/00232/14 propuesta de resolución en la que se estima acertado, salvo mejor criterio del Director de la AEPD, proponer una sanción cifrada en la cuantía de 50.000€ por la infracción acreditada del contenido del art. 6.1 LOPD. SÉPTIMO: Con fecha 04/08/14 se recibe en esta AEPD escrito de alegaciones de la Entidad --Naturgas Energía—a la propuesta de Resolución emitida por el órgano instructor en dónde pone de manifiesto lo siguiente: La única contratación realizada por la afectada con EDP que debe debatirse en el procedimiento de referencia es la relativa al servicio de gas, suministrado pacíficamente bajo el contrato de fecha de alta 11/01/12 y fecha de baja 10/05/12. Que durante todo el periodo en que está vigente el contrato se hace un uso pacífico de los servicios de suministro de gas por parte de la denunciante. Cabe señalar dos argumentos que de manera rotunda, clara y plausible desmonta la falta de atención por el instructor a la solicitud realizada por esta parte: - Resulta sorprendente y difícil de aceptar que la AEPD se niegue a la averiguación del estado de las Diligencias abiertas, provocando una grave y antijurídica indefensión. La AEPD está negando a esta parte hechos fundamentales para la consideración de lo ocurrido y, por tanto, provocando una grave indefensión. En caso de que la firma no sea la suya como pretende hacer creer la Denunciante, serán los Juzgados de lo Penal, conocedores de los hechos, lo que tendrán que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 clarificar dichos hechos, para que llegado el caso se dicte Resolución, dónde se aclare si la firma del contrato es o no es de la denunciante (…). Queda claro que la contratación se realizó de forma voluntaria a través de un medio reconocido por la Legislación vigente, por tanto, y a todos los efectos debe ser considerada como una contratación válida, al menos a los efectos de EDP, ya que todos los signos externos que comprobó EDP así lo indican. Esta parte considera que en la propuesta de Resolución no se han valorado correctamente las circunstancias que concurren en el presente procedimiento de las que se deriva la aplicación del art. 45.5 LOPD. Por todo ello solicita que se declare no haber lugar a la infracción y se acuerde el Archivo de las actuaciones, con carácter subsidiario se tenga en consideración las alegaciones antedichas, procediendo a imponer otra en la cuantía equivalente al importe mínimo de la escala relativa a las infracciones que preceden inmediatamente en gravedad a aquella en la que se integre la que se considere en el presente caso. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. Con fecha 07/03/13 se recibe en esta AEPD reclamación de la afectada en dónde pone de manifiesto lo siguiente: “A mediados de abril 2012 recibo en mi domicilio y a mi nombre factura nº ***FACTURA.1 emitida en fecha 05/04/12 de la compañía HC Energía por 30,95€ en concepto de suministro del Gas del periodo 11/01/12 al 06/03/12”—folio nº 1--. En apoyo de su pretensión aporta copia de la factura emitida por la compañíaEDP Hc Energía—por importe de 30,95€-- folio nº 6 y 7—con fecha de emisión 05/04/12. Segundo. Con fecha 30/05/14 se recibe en esta AEPD escrito de alegaciones de la Entidad denunciada—Naturgas—que aporta copia del presunto contrato formalizado por la afectada, el cual no está acompañado de copia del DNI de la misma. De una mera comparación ocular de la firma plasmada en la denuncia presentada ante las Fuerzas y Cuerpos de Seguridad del Estado (folio nº 5) y la que está plasmada en el contrato aportado (folio nº 56) se puede concluir que las mismas no coinciden en cuanto la forma y trazado. Tercero. Por parte de la Entidad denunciada—Naturgas-- se han emitido facturas procediendo con ello a tratar los datos de la afectada (vgr. Nombre, cif, dirección, c/c, etc).  Factura ***FACTURA.2. Fecha de emisión 05/04/12. Total Importe 30,95€. (folios nº 69 y 70).  Factura ***FACTURA.3. Fecha de emisión: 15/06/12. Total Importe 33,03€. (folios nº 71 y 72). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Cuarto. Queda acreditado que en los sistemas de información de la Entidad denunciada—Naturgas Energía-- se recibió comunicado de la Policía Judicial en el seno del P.A 1905/2013-Juzgado de Instrucción nº 3 (Madrid)--- en dónde se les informa de los pormenores de la Denuncia presentada por la afectada constando como fecha 02/04/13—folio nº 62--. Quinto. Queda acreditado que en los sistemas de información de la Entidad denunciada—Naturgas—se procedió a dar de alta los datos de carácter personal de la afectada.—folio nº 68--. Fecha de Alta: 11/01/12. Fecha de Baja: 10/05/12. Sexto. En los sistemas de información de la Entidad denunciada—Naturgas— constan los “contactos” de la afectada frente a la situación “Llama titular porque dice recibe factura de HC de Gas y nunca paso contrato con nosotros” Fecha 30/04/12. --Folio nº 63--. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Antes de entrar en el fondo del asunto cabe proceder a valorar la petición de la Entidad denunciada—Naturgas Energía Comercializadora S.A.U-- de existencia de proceso judicial penal abierto. El artículo 133 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “No podrán sancionarse los hechos que hayan sido sancionador penal o administrativamente, en los casos en los que se aprecia identidad de sujeto, hecho y fundamento”. Por su parte el artículo 7 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, establece lo siguiente: “Artículo 7. Vinculaciones con el orden jurisdiccional penal. 1. En cualquier momento del procedimiento sancionador en que los órganos competentes estimen que los hechos también pudieran ser constitutivos de ilícito penal, lo comunicarán al Ministerio Fiscal, solicitándole testimonio sobre las actuaciones practicadas respecto de la comunicación. En estos supuestos, así como cuando los órganos competentes tengan conocimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano judicial comunicación sobre las actuaciones adoptadas. 2. Recibida la comunicación, y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial. 3. En todo caso, los hechos declarados probados por resolución judicial penal firme vinculan a los órganos administrativos respecto de los procedimientos sancionadores que substancien”. En el supuesto que se examina, tal como se ha expuesto se tramitan diligencias en el Juzgado de Instrucción nº 3 de Madrid por la presunta contratación fraudulenta de los servicios que fueron objeto de alta/s por parte de persona no identificada suplantando la identidad de la denunciante, lo que podría constituir un delito de estafa tipificado en el art. 248 y ss del Código Penal. Así pues se colige que no existe identidad de sujeto, hecho y fundamento, pues aunque los hechos imputados en ambos procedimientos, penal y administrativo derivan de una misma actuación, el sujeto a los que se dirigen son distintos, en uno la persona no identificada que suplantó la identidad de la denunciante o la presunta actuación delictiva del comercial encargado de la formalización del contrato (vgr. presunto delito de estafa), y en el ámbito administrativo nos encontramos enjuiciando la actuación de una persona jurídica—NATURGAS Energía Comercializadora S.A.U--, y en buena lógica la imputación también es distinta, en un caso una posible usurpación de estado civil y estafa (art. 401 y 248 del código penal) y en el otro una posible vulneración de los principios del consentimiento y calidad en el tratamiento de los datos de carácter personal por parte de NATURGAS (arts. 6 y 4.3 de la LOPD). Tal y como revela el precepto, la triple identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder constituye una exigencia ineludible para que la Administración demandada se encuentre obligada a suspender el procedimiento administrativo sancionador. Por lo que, en función de lo expuesto, tampoco puede aceptarse la petición de suspensión solicitada por la Entidad denunciada—NATURGAS--al no existir las identidades exigidas en la normativa transcrita para que se pueda acordar dicha suspensión. A mayor abundamiento, la aseveración en su escrito de alegaciones de fecha 04/08/14 ”que en caso de que la firma no sea la suya, como pretende hacer creer la denunciante (…)” permite de estimarlo oportuno ejercitar acciones penales—delito de falsa denuncia (art. 456 CP) frente a la denunciante—sin que se haya aportado documentación alguna al respecto. III El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso se procede a examinar la reclamación de fecha 07/03/13 en dónde la epigrafiada pone de manifiesto lo siguiente: “A mediados de abril 2012 recibo en mi domicilio y a mi nombre factura nº ***FACTURA.1 emitida en fecha 05/04/12 de la compañía HC Energía por 30,95€ en concepto de suministro del Gas del periodo 11/01/12 al 06/03/12”—folio nº 1--. Se procede a analizar si los “hechos” denunciados suponen una presunta vulneración del contenido del art. 6.1 LOPD, que consagra el principio del consentimiento en el marco de la LOPD: como derecho del afectado a consentir de manera inequívoca sobre el uso y tratamiento de sus datos de carácter personal. Como medio de prueba presenta la Entidad denunciada—Naturgas—copia del “presunto” contrato firmado por la afectada —folio nº 55 y 56—si bien el mismo no va acompañado del DNI de la afectada o documento de naturaleza similar. A mayor abundamiento, la firma plasmada en el mismo (folio nº 56) no se corresponde prima facie con la que se encuentra plasmada en la Denuncia antes las Fuerzas y Cuerpos de Seguridad del Estado (folio nº 5) siendo distintas en cuanto al trazado y la forma. Asimismo, no consta aportado ningún documento que acredite el consentimiento expreso del afectado ni consta acreditado que por la Entidad—Naturgas—se haya realizado actividad alguna de comprobación de la identidad del titular de los datos en orden a la activación de los servicios “presuntamente” contratados (vgr. llamada de bienvenida, etc) La infracción cuya comisión se atribuye a la entidad denunciada—Naturgas-consiste en el tratamiento de datos personales del denunciante sin su consentimiento, mediante su incorporación a sus ficheros como titular de los contratos anteriormente mencionados y la emisión de facturas por los distintos consumos de los servicios a cargo de éste. El art. 3
4. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Pero, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente "inequívoco". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). En el presente caso, la afectada niega en todo momento haber dado consentimiento alguno para el alta de los servicios, que son objeto de facturación por la Entidad denunciada—Naturgas—“…ese mismo día contacto por teléfono con HC Energía para esclarecer lo ocurrido y soy informada de que persona/s desconocidas habían dado de alta un contrato de suministro de gas con mi nombre y demás datos de filiación y mi firma”—folio nº 1--. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la más acorde con lo dispuesto no solo en el citado art. 6.1 de la LOPD , sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Existe una consolidada Jurisprudencia de la Audiencia Nacional en casos similares al que nos ocupan: -SAN 10/06/11 “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más la firma del contrato se corresponde con la inquilina de la vivienda”. -SAN 18/03/11 “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de servicios S.A no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos y, ello sin perjuicio de la responsabilidad en que pueda haber incurrido la distribuidora Avanza respecto de la hoy recurrente”. -SAN 06/10/11 “No ha podido acreditar el cumplimiento de las exigencias mínimas impuestas por la diligencia normal en la contratación telefónica que habrían obligado a conservar y custodiar la documentación personal del cliente (DNI, pasaporte) o haber acreditado alguna actividad posterior a la contratación para verificar la realidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 de esta; ni se uso la técnica de la llamada de comprobación ni se cotejó mínimamente la documentación remitida por la Empresa comercializadora exigiendo la entrega de una simple fotocopia del DNI”. Así las cosas, no consta que los datos de carácter personal del denunciante, materializado en la contratación de los servicios referenciados (vgr. Gas natural, electricidad, etc), se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
5. b)de la LOPD, no habiendo probado nada al respecto la parte actora, y no encontrándonos en ninguno de los supuestos contemplados en el art. 6.2 de la LOPD en los que no es preciso el consentimiento del afectado. Por consiguiente, se ha de concluir que existe culpa o falta de diligencia que se aprecia en el caso que nos ocupa, al haberse realizado el tratamiento de los datos personales de la denunciante sin su consentimiento, por lo que, considera esta AEPD, que resulta acreditada la infracción atribuida a la Entidad denunciada— Naturgas--, que procedió al tratamiento de los datos de ésta sin su consentimiento expreso e informado. IV Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido. V El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En el presente caso, la Entidad denunciada—Naturgas (EDP)—procedió de alta el suministro de gas vinculado al domicilio de la afectada sin contar con el consentimiento inequívoco de la titular de los datos. A mayor abundamiento, no dispone en sus sistemas copia/fotocopia del DNI o NIE del afectado, ni del nuevo usuario, ni acredita haber realizado actividad alguna de verificación de la identidad del titular de los datos. La infracción apreciada consiste en tratar los datos de carácter personal con vulneración del principio del consentimiento consagrado en el artículo 6 de la LOPD, que dispone "1.-El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". Dicha infracción se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, apreciándose en el supuesto de autos una falta de diligencia en la actuación de la Entidad Naturgas (EDP) al no haber realizado las verificaciones oportunas para constatar si la denunciante había prestado realmente su consentimiento para darle de alta en el servicio y tratar en definitiva sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 personales. El art. 54 de la Ley 30/92, 26 de noviembre dispone que: “Serán motivados, con sucinta referencia de hechos y fundamentos de derecho:
16. a)Los actos que limiten derechos subjetivos o intereses legítimos”. En el presente caso, ha quedado acreditado que la afectada—no otorgo su consentimiento-- al cambio contractual con la compañía denunciada-- Naturgas (EDP)--; ni la misma está en disposición de probar fehacientemente que cuente con el consentimiento inequívoco e informado de la afectada. Evidentemente, no puede exigirse a la denunciante la prueba de un hecho negativo, la ausencia de contratación, pues supondría una probatio diabólica, tal y como una amplia jurisprudencia ha resaltado. Sin embrago, la acreditación de tal hecho no habría de presentar dificultad alguna para la parte denunciada, y esta circunstancia hace también que la carga de la prueba de tal hecho recaiga sobre la Entidad— Naturgas (EDP)- tal y como corrobora el principio de facilidad probatoria que establece el art. 217.6 LEC. La falta de diligencia de la Entidad— Naturgas (EDP)- (responsable del fichero) viene marcada por la falta de documentación adjunta al contrato principal (DNI del solicitante, DNI del cliente o en su defecto, aportación de al menos copia del contrato principal debidamente cumplimentado por el titular de los datos…). No cabe duda de que nos encontramos ante lo que en la práctica se denomina cambio de titularidad del contrato (suministro de gas y electricidad), siendo necesario en el marco de la LOPD, cuya finalidad es la protección del titular de los datos frente a actuaciones contrarias a la Ley, reforzar la protección del mismo; pues de lo contrario “cualquiera” en el marco de la Sociedad de la Información podría realizar negocios jurídicos sin el consentimiento del afectado/a. Contrariamente a lo argumentado por la Entidad denunciada—Naturgas Energía— desde que se recibe la primera reclamación de la afectada en fecha 30/04/12 (folio nº 109) poniendo de manifiesto una presunta contratación fraudulenta, ésta no regulariza la situación de manera inmediata, pues la denunciante recibe cartas de requerimiento de pago de la Entidad—Oriola Abogados Asociados—en fecha 20/09/12 (folio nº 19) y 20/11/12 (folio nº 20) en dónde se le reclama un importe de 33,03€ de unas facturas que no ha generado y que habían “sido anuladas” (folio nº 109). Por lo que no se estima acertado proceder a aplicar el art. 45 letra
17. b)LOPD puesto que no cabe atribuir al comportamiento de la Entidad denunciada el calificativo de “especialmente diligente” puesto que no procede a dar de baja de sus sistemas de información los datos de la afectada y le reclama cantidades que habían sido presuntamente “anuladas”. Por tanto, atendidas las consideraciones fácticas y jurídicas realizadas con anterioridad, ninguna razón permite considerar concurrente en la conducta de la Entidad infractora error vencible o invencible alguno que conlleve a la degradación de la sanción, sino el incumplimiento del más elemental deber de diligencia en el tratamiento de los datos personales del que es responsable. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 A la hora de motivar la sanción a imponer a la Entidad— Naturgas (EDP)—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. 45. 4
18. c)LOPD. Naturgas es una Entidad habituada al trato con los “potenciales” clientes en el suministro de gas, electricidad y otros servicios, que viene a facturar tratando los datos de carácter personal de los afectados.  El volumen de negocios o actividad del infractor. 45. 4
19. d)LOPD Con carácter ilustrativo, Naturgas obtuvo de beneficio líquido en el año 2012 unos aproximadamente 106 millones de euros de beneficio, siendo uno de los principales operadores en el suministro de Gas de la Península Ibérica.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
20. h)LOPD. Como resumen, de lo expuesto, ha quedado acreditado que la Entidad denunciada— Naturgas (EDP)-- no contaba con el “consentimiento inequívoco e informado” del afectado/a, el contrato no se encontraba firmado por el titular de los datos; no se procedió a realizar actividad de verificación alguna (vgr. llamada de bienvenida, envió de copia del contrato para ser debidamente cumplimentado, adjuntar copia del DNI del cliente, adjuntar copia del DNI del nuevo usuario etc) y se han utilizado sus datos de carácter personal mediante la emisión de facturas por servicios no contratados en legal forma. Por todo lo expuesto, se acuerda imponer una sanción cifrada en la cuantía de 50.000€ por la infracción acreditada del contenido del art. 6.1 LOPD, infracción situada en una escala baja dentro de las infracciones graves. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad --NATURGAS ENERGIA COMERCIALIZADORA-, SAU--, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
21. b)de dicha norma, una multa de 50.000€ (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la Entidad --NATURGAS ENERGIA COMERCIALIZADORA, SAU-- y a Doña A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es