← España

PS-00242-2013

1/18 Procedimiento Nº PS/00242/2013 RESOLUCIÓN: R/02561/2013 En el procedimiento sancionador PS/00242/2013, instruido por la Agencia Española de Protección de Datos a las entidades GALP ENERGIA ESPAÑA S.A.U., y PARTEC REPRESENTACIONES S.L, vista la denuncia presentada por Doña A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Dña. A.A.A. (en lo sucesivo la denunciante) manifiesta ante esta Agencia los siguientes hechos, a efectos de determinar si se ajustan o no a la Legislación vigente en materia de protección de datos. “…que GALP le factura los suministros de electricidad y gas, así como, un servicio de mantenimiento de gas, cuando afirma que ella tenía contrato con GAS NATURAL-FENOSA. Manifiesta que no ha firmado ni contratado nada”. Junto con su denuncia aporta la siguiente documentación: - Copia de factura de 29/04/2012 emitida por GALP a su nombre y relativa al consumo de gas y al servicio demantenimiento “ConfortGas”, por importe total de 40,90 €. Copia de factura de 19/06/2012 emitida por GALP a su nombre y relativa al consumo de electricidad, por importe de 63,76 €. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GALP ENERGIA ESPAÑA S.A.U., teniendo conocimiento de que: Con fecha 1 de marzo de 2013 se personan en las dependencias de GALP dos inspectores de esta Agencia quienes, tras acreditar su personalidad y entregar la autorización de entrada expedida por el Director, desarrollan sus labores de inspección, fruto de las cuales se constata lo siguiente: En el fichero de clientes consta que a nombre de Dña. A.A.A. se han contratado los siguientes productos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 1.1. Suministro de gas con fecha de alta 13/02/2012 y baja 11/06/2012 por cambio de comercializadora 1.2. Suministro eléctrico con fecha de alta 10/04/2012 y baja 17/07/2012 por cese en el suministro. Los representantes de la entidad manifiestan que para el servicio eléctrico, cuando la causa de baja figura cese, puede corresponder a un cambio de comercializadora. 1.3. Servicio de mantenimiento Confortgas con fecha de alta 24/01/2012 y baja 23/09/2012. 2. Según consta en el sistema de facturación se han emitido 10 facturas por los servicios contratados. Respecto a la mecánica de facturación y según la información que arroja el sistema, los representantes de la entidad manifiestan: - - Que las facturas con código que empieza por GE corresponden a suministros de energía y las que empiezan por GS corresponden a servicios de mantenimiento. Las facturas GE pueden contener además de los conceptos correspondientes a consumos energéticos, conceptos relativos a servicios de mantenimiento, sin embargo las facturas GS no contienen nunca conceptos relativos a consumos energéticos. Cuando una factura es anulada por la entidad se marca con una cruz “X” en el icono del fichero. Cuando una factura de código GE contiene junto a los conceptos de consumo energético conceptos relativos a servicios de mantenimiento, y es necesario cancelar estos últimos, se emite una nueva factura GE con solamente los consumos de energía. En el sistema de facturación figura 6 factura GE, 4 de ellas anuladas y 3 facturas GS que se encuentran anuladas, y una factura YY de 0 € que corresponde a un proceso interno del sistema de información de la entidad que no se emite ni se envía al cliente. 3. Accediendo al fichero que contiene los contactos y reclamaciones presentadas por el cliente, se verifica que figuran registradas entre otras las siguientes actuaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 3.1. Con fecha 25/07/2012 consta que el cliente niega haber contratado los servicios. 3.2. Con fecha 10/09/2012 llega escrito remitido por la Dirección General de Consumo de la Comunidad de Madrid en la que comunican que el cliente no ha solicitado el cambio de compañía. Se comprueba por parte de la entidad la existencia de un contrato en que contrató gas, electricidad y confortgas. Le remiten copia del citado contrato. Con fecha 11/09/2012 remiten respuesta a Consumo señalando la existencia de un contrato suscrito por el afectado, y que al vencimiento del contrato de Confortgas no se realizará la renovación. 3.3. Con fecha 05/02/2013 se recibe un escrito en el que el cliente manifiesta su disconformidad con la contratación de gas, electricidad y servicio de mantenimiento y solicita la anulación de las facturas emitidas salvo las correspondientes a los consumos realizados de gas y electricidad. Las actuaciones de la entidad ante esta reclamación consisten en verificar que todos los servicios y suministros están cesados. Se anulan las facturas de Confortgas y se emiten facturas únicamente de los consumos de energía. Se remite respuesta en fecha 05/02/2013. 4. Accediendo al registro que contiene información de la entidad mediadora en la contratación de los suministros y servicios a nombre del afectado, se verifica que la misma fue Partec (Partec Representaciones S.L.). 5. Accediendo al registro que contiene información relativa a la deuda que presenta este cliente con la entidad, se verifica que la cantidad pendiente es de 159,70 €, cantidad que figura junto al registro “venc”. Con fecha 5 de marzo de 2013 se personan en las dependencias de –PARTEC-- dos inspectores de esta Agencia quienes, tras acreditar su personalidad y entregar la autorización de entrada expedida por el Director, desarrollan sus labores de inspección. Fruto de las mismas, y según ha quedado acreditado en el Acta de Inspección E/6200/2012-I/1 realizada en la entidad Partec Representaciones S.L.: La actividad única de la entidad ha sido la comercialización de productos y servicios de Galp Energía, si bien actualmente no tiene ningún tipo de actividad, y la disolución final se producirá cuando finalicen los contenciosos que tienen interpuestos. El único cliente que ha tenido Partec como empresa ha sido Galp. Comenzó a trabajar con ella en marzo de 2011 mediante contrato verbal. Inicialmente no recibe ninguna instrucción concreta de Galp en cuanto a la forma de proceder para recabar los datos personales incluidos en el contrato, sólo recibe los contratos de Galp en blanco para que los comerciales de Partec los cumplimenten. Siguiendo las instrucciones de Galp recibidas por correo electrónico no se consideraba necesario que el contrato estuviese firmado por el titular del suministro contratado, podía ser firmado por cualquier persona que se encontrase en el domicilio apelando al criterio del comercial (esposa, inquilino, hijo, etc….). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 En junio de 2012, Partec recibe un nuevo correo electrónico modificando este procedimiento. A partir de ese momento, los comerciales deben recabar los datos personales y firmar el contrato con el titular del servicio y si era inquilino debía aportar copia del DNI y autorización del titular del suministro En febrero de 2012 se firma un contrato por escrito donde sí figuran instrucciones concretas. Actualmente el contrato firmado entre ambas empresas se encuentra disuelto desde el 15 de octubre de 2012. 6. Partec llegó a tener entre 70 o 75 comerciales con los que tenía firmado un contrato mercantil. A los comerciales se los captaba en la calle y sin recibir ninguna formación concreta sobre los tratamientos de datos personales que debían realizar comenzaban a comercializar los productos y servicios de Galp a puerta fría, sin recibir con antelación ningún dato personal de los potenciales clientes. En marzo de 2012 Galp elabora un código de conducta para los comerciales que remite a Partec y se incluye en el contrato mercantil que firmaban los comerciales que se incorporan a partir de esa fecha. 7. Partec entregaba en la sede de Galp en Alcobendas los contratos en papel que le entregaban sus comerciales,. Pasados unos 15 días, Galp abonaba a Partec el importe pactado por la confección de los mismos. Partec no se quedaba con copia de los contratos, únicamente recogía en un documento Excel el listado de los domicilios donde se habían firmado contratos para chequear el correcto pago por parte de Galp. Una vez cobrados los servicios, se destruía el citado documento. Actualmente, guardan copia de los documentos Excel últimos porque están pendientes de cobrar y están en proceso judicial. TERCERO: Con fecha 13 de mayo de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las Entidades --GALP ENERGIA ESPAÑA S.A.U--. y a la Empresa– PARTEC Representaciones S.L--, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como infracción grave en el artículo 44.3

  1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€ de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad --GALP ENERGIA ESPAÑA S.A.U--., mediante escrito de fecha 07/06/13 formuló alegaciones, significando, que: Respecto a los hechos en fecha 19/01/12, la denunciante, Dª. A.A.A. firma un contrato de gas, de electricidad y de mantenimiento “Confortgas Básico”. En efecto no se dispone del DNI, el cual se supone que fue exhibido por su titular al tiempo de la contratación. Si bien la práctica de no recabar copia del DNI puede no ser la más adecuada, sobre todo para los intereses de la compañía si esta es denunciada como así ha sucedido por el cliente, no prueba tampoco que el cliente no diera sus datos con pleno convencimiento y de forma voluntaria con aceptación de la oferta (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 Todos los documentos (contrato y los dos documentos de solicitud de cambio de comercializadora) están debidamente cumplimentados en todos sus campos. La insuficiencia de las pruebas aportadas por la denunciante deberían traducirse en un procedimiento absolutorio. Sobre Partec Representaciones. En el Acuerdo de prestación de servicios de Fuerzas de Ventas de febrero de 2012 firmado con Partec expresamente se incluyen obligaciones para el proveedor referentes a protección de datos y acreditación de la identidad de posibles clientes. Partec debería responder de las infracciones en que hubiera incurrido personalmente., puesto que entre sus obligaciones contractuales está la de recabar el consentimiento para el tratamiento de los datos personales y verificar la identidad de los titulares de los datos mediante exhibición de su DNI y acreditación de la representación. En cuanto a las medidas adoptadas por la Compañía para evitar situaciones futuras anómalas. Se realizaron 13.000 llamadas a aquellos clientes que negaban haber contratado o discrepaban de la contratación, a fin de ofrecer explicaciones y resolver las quejas; cancelar y reintegra las facturas del servicio. A todas aquellas personas con las que no se pudo contactar por esta vía se les envió una carta para que se pusieran en contacto con Galp. Revisión de todos los contratos con empresas de Task-forces y de la calidad de los servicios y cancelación de relaciones deficientes (…). Por todo ello solicita que se dicte Resolución de Archivo del presente procedimiento y por la que se exonere de toda responsabilidad a la presente Entidad”. En fecha 03/06/13 la Entidad denunciada—Partec Representaciones S.L— manifiesta que: “Como ya se ha acreditado mi mandante es un prestador de servicios de fuerza de ventas Galp Energia S.A.U, empresa proveedora de los servicios que nos ocupan y responsable última de la gestión de dichos datos. En cuanto a la relación con el comercial. El comercial interviniente en la operación se trata de D. B.B.B.. La relación que vincula a Partec con el mismo es de carácter mercantil (relación entre dos empresarios). Entre las obligaciones del comercial se indica que: “El agente se obliga frente a la Empresa a promover y concluir las operaciones comerciales especificadas por la Empresa, por cuenta ajena”. La reclamante no adjunta, lógicamente copia del contrato que da origen a la contratación del suministro. Resulta curioso comprobar la similitud entre la firma disponible en el contrato y la que remata la denuncia presentada por la reclamante ante esta Agencia. No adjunta la reclamante copia de su DNI, con lo que en todo caso, no es posible hacer ninguna comparación que pueda entenderse indubitada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 Resulta a esta parte imposible saber si la situación que se describe ha sido un engaño o es, en realidad, una maniobra de la reclamante que cambia de opinión en la contratación realizada y quiere darse de baja, pero conocedora de que el servicio de mantenimiento contratado es por periodos anuales, busca argumentos para su anulación. Actuando mi mandante con la mayor de las diligencias posibles, como así ha sido, resulta imposible advertir los hechos que motivan esta reclamación, siendo también, en su caso, mi mandante víctima del engaño. QUINTO: Con fecha 11/06/13 se procede a desestimar motivadamente la solicitud de prueba requerida por la Entidad denunciada—Partec Representaciones—al ser considerada innecesaria la toma de declaración—prueba testifical—del comercial encargado del alta del servicio/s. SEXTO: En fecha 25/06/13 se solicita por el órgano instructor a la denunciante la aportación de documentación, en concreto: copia del DNI y que se pronuncia sobre un nº de cuenta corriente, concediéndole al efecto un plazo de 10 días hábiles. En fecha 30/08/13 se reitera por parte del órgano instructor a la denunciante la aportación de documentación, en concreto: copia del DNI y que se pronuncia sobre un nº de cuenta corriente, concediéndole al efecto un plazo de 5 días hábiles. SÉPTIMO: En fecha 24/10/13 se procede a notificar en tiempo y forma la “Propuesta de Resolución” a la Entidad denunciada –Partec—constando los dos intentos de notificación—ex art. 59 Ley 30/92—devueltos por el servicio de mensajería con indicación: “Ausente de reparto” y nº de albarán ************; sin que a día de la fecha se haya recibido en esta AEPD manifestación alguna conforme a Derecho o se haya solicitado copia de la documentación a los efectos legales oportunos. OCTAVO: En fecha 11/11/13, último día del plazo de alegaciones concedido legalmente, se recibe en esta AEPD las alegaciones de la Entidad denunciada—Galp—en las que de manera sucinta manifiesta que: Sobre el consentimiento. GALP, al disponer de un contrato supuestamente firmado por la representante del titular del suministro, estaba en posesión de un documento que reunía todos los requisitos para presumir que existía el consentimiento para el tratamiento de los datos. Que la culpabilidad que da lugar a la infracción debe recaer sobre los autores materiales de los hechos PARTEC y su comercial D. B.B.B., ambos fueron los beneficiados de los hechos sancionables, al recibir la comisión de venta por la captación del cliente. Reconocimiento de la falta del deber de diligencia. GALP, acepta su responsabilidad en lo que se refiere al deber de diligencia que se señala el Fundamento de Derecho I cuando dice que, como responsable del fichero debió de implementar medidas de verificación y control y en su caso de respuesta al cliente en tiempo y forma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 Medidas que al tiempo de suceder los hechos denunciados no fueron suficientemente efectivas como para impedir el tratamiento de datos de la denunciante. Aplicación favorable del art. 45.5 LOPD. Esta parte tiene a bien poner de manifiesto que en todo caso y dadas las circunstancias resulta aplicable el principio de proporcionalidad a la hora considerar por esta Agencia la responsabilidad de GALP: carácter continuado de la infracción; vinculación de la actividad al tratamiento; volumen de negocio (el denunciante no mantiene deuda alguna con Galp); ningún grado de intencionalidad e inexistencia de daño cuantificable. Entendemos que GALP ha dejado demostrado en todo caso una cualificada disminución de la culpabilidad, ya que nunca trató los datos en la creencia de que los mismos pudieran haber sido recabados de forma ilícita. Que el denunciante, en ningún caso ha sufrido un perjuicio económico ni de otro tipo, ya que nunca ha sido privado de suministro durante la contratación del servicio, como cuando se estaba procediendo a la cancelación de sus contratos. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS Primero. En fecha 28/06/12 se recibe en esta AEPD reclamación de la afectada en dónde pone de manifiesto que: “Galp Energía me factura el servicio de gas y electricidad que tengo contratado con Gas Natural Fenosa. No he contratado nada con Galp, ni telefónica, ni físicamente, han realizado un tratamiento de mis datos sin consentimiento, para una supuesta firma de un contrato que yo no he firmado”.—folio nº 1--. En apoyo de su pretensión aporta copia de dos facturas emitidas por la Entidad denunciada—Galp--, con los datos de carácter personal de la afectada. A.A.A.. (C/......................1)—Madrid--.  Nº de factura: ***FACTURA.1. Fecha de emisión 19/06/12. Total importe: 63,76€.  Nº de factura: ***FACTURA.2. Fecha de emisión: 29/04/12. Total importe: 40,92€. Segundo. A raíz de inspección realizada por los Servicios de Inspección de la AEPD se constata que en los sistemas de información de la Entidad denunciada—Galp—constan los siguientes servicios “presuntamente” contratados por la denunciante.  Suministro de gas con fecha de alta 13/02/12 y fecha de baja 11/06/12 por cambio de comercializadora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18  Suministro eléctrico con fecha de alta 10/04/12 y fecha de baja 17/07/12 por cese en el suministro.  Servicio de mantenimiento Confortgas con fecha de alta 24/01/12 y fecha de baja 23/09/12. Tercero. La Entidad denunciad-Galp-- ha tratado los datos de carácter personal de la afectada mediante la emisión de facturas. Así consta aportado al presente procedimiento (folio nº 2 y 3) Nº de factura: ***FACTURA.3. Fecha de emisión. 19/06/12. Total factura: 63,76€. Nº de factura: ***FACTURA.2.Fecha de emisión. 29/04/12. Total factura: 40,90€ Cuarto. En los sistemas de información de la Entidad denunciada—Galp—consta como reclamaciones y quejas de la afectada las siguientes: o o Con fecha 25/07/12 consta que el cliente niega haber contratado los servicios. Con fecha 10/09/12 llega escrito remitido por la Dirección General de Consumo de la CCAA de Madrid en la que le comunican que el cliente no ha solicitado el cambio de compañía. Quinto. La Empresa encargada de realizar la formalización del contrato se trata de la empresa—Partec Representaciones S.L--, en concreto a través del comercial (relación entre dos empresarios individuales): D. B.B.B., titular del DNI ***DNI.1. La misma no aporta copia del DNI o documento de naturaleza similar del titular de los datos de carácter personal. Sexto: De la mera comparación de las firmas aportadas (folio nº 1 reclamación en la AEPD de la afectada) y las que constan plasmadas en el contrato presentado (folios por la Entidad denunciada Galp (responsable del fichero) se puede aseverar que las mismas no coinciden. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 En el presente caso se procede a examinar la reclamación de fecha 28/06/12 en la que la afectada denuncia de manera sucinta que: “Galp Energía me factura el servicio de gas y electricidad que tengo contratado con Gas Natural Fenosa. No he contratado nada con Galp, ni telefónica, ni físicamente, han realizado un tratamiento de mis datos sin consentimiento, para una supuesta firma de un contrato que yo no he firmado”.—folio nº 1--. En apoyo a lo manifestado aporta como medio de prueba admisible en derecho dos facturas emitidas por la Entidad denunciada—Galp Energía--, en dónde se plasman los datos de carácter personal de la misma (Nombre, apellidos, dirección, nº de cuenta bancaria, etc). o o Nº de factura: ***FACTURA.1. Fecha de emisión 19/06/12. Total importe: 63,76€. Nº de factura: ***FACTURA.2. Fecha de emisión: 29/04/12. Total importe: 40,92€. La afectada manifiesta expresamente (folio nº 1) en su escrito de reclamación ante esta AEPD: “Han realizado un tratamiento de datos sin mi consentimiento, para una supuesta firma de un contrato que yo no he firmado” (folio nº 1). “…me cobran en una cuenta que no es la mia…”(folio nº1) La única prueba objetiva aportada por la Entidad denunciada—Galp—en el presente caso, es la copia de “contrato” con presunta rúbrica de la denunciante. Esta Agencia tiene establecido como criterio en la materia que nos ocupa, que la mera existencia de un contrato firmado no garantizaba plenamente la protección de los datos de carácter personal de los titulares de los mismos; por lo que en aras de una mayor protección y garantía del “consentimiento inequívoco” se requiere la aportación junto con el contrato, de la existencia de fotocopia del D.N.I o documento de naturaleza similar, como diligencia mínima a desplegar por cualquier Entidad a la hora de asegurar la contratación de cualquier servicio. Item, dicho D.N.I o documento de naturaleza similar deberá ser el del titular de los datos, deberá estar vigente (según fecha impresa en el mismo) en el momento de la contratación del servicio, deberá constar anverso/reverso del mismo y la fotocopia deberá ser nítida, sin manipulación o tachaduras en los datos o en la fotografía del afectado/a. En apoyo de lo argumentado, baste citar los siguientes pronunciamientos de la Audiencia Nacional: - Así la SAN 10/06/2011 en dónde se establece “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permita comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 para confirmar el consentimiento del titular de los datos. Es más, la firma de contrato se corresponde con el inquilino de la vivienda”. - También en idénticos términos, la SAN 08/07/12 “No es obligatoria copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, como ya señalamos en la SAN de 27 de abril 2006 (Rec. 54/2005) deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la Entidad recurrente”. - La SAN 13/05/11 esgrime lo siguiente “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de Servcios SA no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos era efectivamente la citada persona y que la misma consintió tal contratación”. Por tanto, en su condición de responsable del fichero y de tratamiento, la Entidad denunciada—Galp—tenía la obligación de asegurarse que contaba con el consentimiento del denunciante para tratar sus datos de carácter personal y a tal fin debió implementar y adoptar las medidas de control y verificación correspondientes. Es cierto que los datos de la afectada se los suministro la Entidad—Partec Representaciones S.L—como prestador de servicios de fuerzas de venta, pero como viene afirmado la Audiencia Nacional (vgr. SAN 2848/2011) con independencia de la responsabilidad en que haya podido incurrir dicha empresa al facilitarle los datos de la denunciante sin su consentimiento, no la eximen del cumplimiento de la normativa vigente en materia de protección de datos personales, pues es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios, y la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar (aunque la recogida de datos se haga a través de terceros) y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente esla titular de los datos personales en cuestión. En su condición de responsable del fichero, Galp Energía tenía la obligación de asegurarse que contaba con el consentimiento de la denunciante para tratar sus datos de carácter personal y a tal fin debió implementar y adoptar las medidas de control y verificaciones correspondientes. Por todo lo expuesto, se considera que la Entidad denunciada—Galp—ha infringido el contenido del art. 6.1 LOPD, procediendo a tratar sus datos de carácter personal sin contar con el consentimiento de la afectada. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 En cuanto a la Entidad denunciada—Partec Representaciones S.L—la misma según se desprende de la documentación aportada “es un prestador de servicio de fuerza de ventas de Galp Energía España S.A.U”. Dentro del marco de la Legislación vigente en materia de protección de datos ocuparía la figura de “encargado del tratamiento”. El art. 3 letra
  3. g)LOPD—LO 15/99—define la figura del encargado del tratamiento de la siguiente manera: “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el caso que nos ocupa, la Entidad Partec a su vez encargo la realización y toma de los datos a un agente comercial: D. B.B.B., siendo la relación entre ambos de carácter mercantil (relación entre dos Empresarios independientes). “El agente se obliga a actuar lealmente y de buena fe velando por los intereses de Partec Representaciones S.L por cuya cuenta actúa, en el ejercicio de la actividad encomendada”. Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía—(vgr. aportado en el PS/00183/2013). A saber: “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado”. La Entidad denunciada—Partec—no está en disposición de aportar copia del DNI o documento de naturaleza similar que acredite de forma fehaciente que contaba con el consentimiento inequívoco e informado del titular de los datos. En interpretación del art. 6.1 LOPD, la Audiencia Nacional ha venido manteniendo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento de inequívoco. Por todo ello, se considera que ha infringido el contenido del art. 6.1 LOPD y no puede esgrimir un desconocimiento de la normativa vigente en materia de protección de datos. V Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  4. a)El carácter continuado de la infracción.
  5. b)El volumen de los tratamientos efectuados.
  6. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  7. d)El volumen de negocio o actividad del infractor.
  8. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  9. f)El grado de intencionalidad.
  10. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  11. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  12. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  13. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  14. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  15. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  16. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 comisión de la infracción.
  17. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  18. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “..no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. En cuanto a la Entidad denunciada—Galp Energía—ha quedado acreditado que la misma sólo aporta copia de un “presunto” contrato de la afectada, sin copia del DNI o documento de naturaleza similar; por lo que no demuestra fehacientemente que cuente con el consentimiento inequívoco del titular de los datos. Por tanto, no es obligatoria la copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, como ya se plasma en la SAN de 27 abril 2006 (Rec.54/2005) deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse, a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la entidad demandada. Como señala la STS de 18 marzo 2005 (Rec. 7707/2000) es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". No cabe apreciar “reconocimiento espontaneo” de la responsabilidad administrativa, porque en las alegaciones al Acuerdo de Inicio—momento procesal en el que debió realizarse—se esgrimieron argumentaciones relativas al consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 afectado, responsabilidad del encargado del tratamiento y práctica de prueba entre otros elementos, que impiden considerar la aplicación de tal causa de disminución de la culpabilidad. En consecuencia, no se aprecian en el caso que nos ocupa, la concurrencia de circunstancias que pongan de relieve esa cualificada disminución de la culpabilidad o antijuridicidad requerida por el citado art. 45.5 de la LOPD , habiéndose impuesto la sanción en cuantía muy próxima al grado mínimo por lo que no se ha vulnerado el principio de proporcionalidad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos. A la hora de motivar la sanción, una vez que se ha considerado no tener en cuenta la aplicación del art. 45.5 LOPD, se han de tener en cuenta los criterios de graduación de las sanciones del art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.45.4
  19. c)LOPD.  El volumen de negocio o actividad del infractor.45.4
  20. d)LOPD. A modo ilustrativo, la compañía Galp, según fuentes consultadas, obtuvo unos aproximadamente 359 millones de beneficio neto en 2012.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
  21. h)LOPD. Por todo ello se acuerda imponer a la Entidad denunciada—Galp—una sanción que se cifra en la cuantía de 50.000€, dada la especial gravedad en los hechos descritos y la total falta de diligencia de la Entidad denunciada. En cuanto a la Entidad denunciada—Partec—(encargada del tratamiento), la misma procedió a efectuar la contratación del servicios/s a través de comercial, si bien no está en disposición de aportar como medio de prueba: copia del DNI o documento de naturaleza similar, que acredite que contaba con el consentimiento inequívoco de la afectada. En consecuencia ha quedado probada la comisión de la infracción imputada que es imputable a título de culpa, por falta de cuidado o diligencia a la hora de la contratación. No obstante, se tiene en cuenta la aplicación del art. 45.5 LOPD. En concreto, se procede a aplicar la letra
  22. a)del art. 45.5 LOPD “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer se tienen en cuenta los criterios del art. 45.4 LOPD. En el presente caso: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.45.4
  23. c)LOPD.  El volumen de negocio o actividad del infractor.45.4
  24. d)LOPD.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
  25. h)LOPD. Por todo ello se acuerda imponer a la Entidad denunciada-Partec Representaciones S.L—una sanción que se cifra en la cuantía de 3.000€., sanción que se encuadra dentro del marco de las infracciones leves. Todo ello, sin perjuicio, de las “presuntas” responsabilidad de carácter penal (vgr. delito de estafa—ex art. 248 LO 10/95) en las que pueda haber incurrido el comercial contratado por la Entidad denunciada—Partec- cuyo enjuiciamiento corresponde a los órganos jurisdiccionales con competencia en la materia. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad denunciada --GALP ENERGIA ESPAÑA S.A.U.--, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
  26. b)de dicha norma, una multa de 50.000€ (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad denunciada --PARTEC REPRESENTACIONES S.L --por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
  27. b)de dicha norma, una multa de 3.000 € (tres mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a la Entidad--GALP ENERGIA ESPAÑA S.A.U.--, y --PARTEC REPRESENTACIONES S.L-- y a Doña A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.