PS-00243-2014

1/21 Procedimiento Nº PS/00243/2014 RESOLUCIÓN: R/02449/2014 En el procedimiento sancionador PS/00243/2014, instruido por la Agencia Española de Protección de Datos a las entidades DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A., y AGORA CONTROL Y GESTION EMPRESARIAL, S.L., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 14/05/2013, escrito presentado por D. A.A.A. (en lo sucesivo el denunciante) con NIF ***NIF.1, en el que denuncia a la compañía DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A. (en lo sucesivo CANAL +/ DTS) manifestando lo siguiente: En el mes de marzo recibe una llamada de CANAL+ reclamándole una deuda por un contrato realizado en el mes de febrero de este año, contesta indicando que debe ser un error ya que desde hace más de ocho años no es cliente, que con su nombre y apellidos es probable que tengan más clientes, si bien el día 8 de abril le vuelven a llamar insistiendo en el pago de la deuda. La compañía ha facilitado el contrato al denunciante en cuyas Condiciones Generales de Contratación, de fecha 6 de febrero de 2013, constan los siguientes datos del denunciante: nombre, apellidos y NIF, si bien la dirección postal, el teléfono, la tarjeta, la cuenta corriente y la firma no corresponden al denunciante y ha sido realizado en la localidad de Talavera, pero el denunciante reside en Oviedo. Por lo que atribuyeron el contrato a su NIF al coincidir el nombre y apellidos y no verificaron la identidad además de no cancelar sus datos personales y no han solucionado el error. Que se personó en una sucursal de la entidad Barclays Bank, entidad que figura en el contrato, le confirman que no consta cuenta corriente a nombre del denunciante, por lo que CANAL + debió cruzar los datos que tenía desde hace ocho años con el nuevo cliente sin verificar el DNI. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad DTS, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones de inspección E/03562/2013 que se transcribe: “ACTUACIONES PREVIAS DE INSPECCIÓN 1 El denunciante da respuesta a la información y documentación requerida por la Inspección de Datos, con fecha de 18 de febrero de 2014, en los siguientes términos: - Que remitió más de “40” reclamaciones por correo electrónico a CANAL+, para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 - - 2 <....@canalplus.es> desde la dirección <.....@gmail.com>, en el periodo comprendido entre abril y diciembre de 2013, en las que comunica los mismos hechos que los que manifiesta ante esta AEPD y que fueron respondidos por la compañía, se adjunta impresión de pantalla de los mismos. Que interpuso denuncia ante la Dirección General de la Policía, el 6 de mayo de 2013, y como consecuencia de ello recibe comunicación del Fiscal de Menores de Toledo informándole de su situación y derechos como perjudicado por unos hechos presuntamente cometidos por una menor. Que recibe el denunciante requerimiento de pago de la compañía CANAL+, de fecha de emisión el 5 de diciembre de 2013, y en el que consta como periodo de pago el 4 de enero de 2014. La compañía CANAL+ ha comunicado a la Inspección de Datos, con fecha de 12 de marzo de 2014, en relación con la contratación de servicios a nombre del denunciante lo siguiente: - En el Sistema de Información de Clientes consta el nombre, apellidos y NIF del denunciante, que fue dado de alta el 20 de noviembre de 2002, dirección de correo electrónico <......@notiene.com> con domicilio en Talavera de la Reina y estado no activo. Las facturas que se emitieron fueron de fecha febrero, marzo, abril y octubre de 2013, cuya copia adjuntan. - Constan diversas comunicaciones y contactos mantenidos entre el denunciante y la compañía entre abril y diciembre de 2013, mediante correo electrónico, adjuntan impresión de los mismos así como de la respuesta dada por parte de la compañía como los siguientes: El denunciante con fecha de 9 de abril de 2013 pone en conocimiento de CANAL+ lo siguiente: Me pongo en contacto con ustedes para que solucionen a la mayor brevedad un problema que yo no he generado y que me está causando molestias y perjuicios (…). Hace dos semanas me llaman de CANAL+ y me indican el impago de una o varias mensualidades (…), que fui abonado hace unos 10 años y que me imagino que se tratara de un error. Ayer he vuelto a recibir otra llamada (…). La compañía ha anotado las siguientes circunstancias: Tipo de contacto: VERIFICACION DE LA IDENTIDAD. EL CLIENTE DICE QUE NO ES CLIENTE NUESTRO. El último contacto de fecha de 24 de diciembre de 2013 en el que CANAL+ da respuesta a la reclamación del denunciante, de fecha 20 de diciembre de 2013, indicando lo siguiente: Estimado señor A.A.A.: Aprovechamos la ocasión para agradecerla la amabilidad que ha tenido al dirigirse a nosotros. Le agradecemos el envío de su mensaje. Lo hemos trasladado al departamento afectado y volveremos a ponernos en contacto con usted en cuanto dispongamos de la respuesta al asunto que nos plantea. Le pedimos disculpas por esta demora (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 - El contrato se encuentra anulado, con el equipo decodificador pendiente de entregarse y con un importe pendiente de 324,05€. Se ha excluido al cliente del proceso de recuperación de los equipos y de la deuda, de manera cautelar a la espera de resolución de la denuncia interpuesta ante la AEPD, y los datos del reclamante no han sido incluidos en ficheros de morosidad. - El contrato del denunciante con CANAL+ fue dado de alta por el distribuidor ***NÚM.1, AGORA CONTROL Y GESTION EMPRESARIAL, S.L., con NIF ********, y esta empresa ha comunicado a CANAL+ que de manera excepcional no dispone de grabación de la contratación. Se adjunta contrato suscrito entre ambas compañías el día 31 de julio de 2012.” TERCERO: Con fecha 13 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A., y a AGORA CONTROL Y GESTION EMPRESARIAL, S.L., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Dicho acuerdo fue notificado a AGORA mediante publicación en el BOE de fecha 09/06/2014 y exposición en el tablón de anuncios del ayuntamiento de Majadahonda, al resultar desconocido AGORA en el domicilio conocido por esta Agencia y que consta en el registro Mercantil Central. QUINTO: Notificado el acuerdo de inicio DTS formuló las siguientes alegaciones: 1. El 02/02/2013 DTS recibió de AGORA CONTROL Y GESTION EMPRESARIAL, S.L. (en adelante AGORA) una solicitud para la instalación del servicio de televisión digital iPlus en la dirección (C/.............1) -Toledo. Según el contrato suscrito entre DTS y AGORA, esta última es la encargada de recabar y acreditar el consentimiento inequívoco de los clientes y está obligada a grabar las conversaciones de todas las llamadas que realice para acreditar la obtención del consentimiento del cliente que solicite contratar los servicios de DTS. AGORA, de manera excepcional no dispone de la grabación de la contratación. 2. Obtenido el consentimiento, el servicio de dio de alta en fecha 06/02/2013 y se efectuó el primer pago por el cliente. Los recibos de marzo y abril 2013 fueron devueltos acumulando una deuda 102,5 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 3. El 08/04/2013 el denunciante manifiesta por primera vez a DTS, que aunque fue cliente de Canal+, ya no lo es y por tanto no puede tener deuda alguna. El 11/04/2013 DTS solicitó la reclamante por correo electrónico copia de su DNI, y una vez recibida se le envió copia del contrato. El 03/05/2013 el denunciante indica que, si bien su DNI y apellidos son los suyos, los datos bancarios y la dirección de instalación (Talavera) no corresponden a los suyos. El denunciante presentó denuncia en la Comisaría de Policía de Oviedo el 06/05/2013 y el 08/05/213 se le informa por DTS que se ha recibido solicitud de información de la Policía de Talavera de la Reina. En mayo/junio de 2013 DTS suspende cualquier actuación relativa a ese contrato y queda a la espera de la información que pueda recibirse de la Comisaría de Policía de Talavera, es decir, DTS actuó correctamente puesto que trató de averiguar la identidad del reclamante y verificar sus afirmaciones, y una vez comprobó la existencia de indicios de una posible suplantación de identidad decidió suspender cualquier actuación con relación al contrato. 4. A pesar de haber registrado en sus sistemas la suspensión del contrato y el cese en el tratamiento de datos del denunciante, el 20/12/2013 el denunciante recibió por error una comunicación indicándole que se habían devuelto los recibos correspondientes a los meses de marzo y abril 2013. 5. DTS no tiene responsabilidad en el tratamiento de los datos del denunciante para darle de alta en los servicios y facturarle puesto que obró en la creencia legítima de que existía consentimiento del denunciante, siendo responsable de la existencia del mismo AGORA. 6. Subsidiariamente aplicación del artículo 45.5 de la LOPD. SEXTO: En fecha 13/10/2014 se emitió propuesta de resolución en el sentido de imponer tanto a DTS como a AGORA una multa de 50.000 €, por la infracción del artículo 6.1 de la LOPD. SEPTIMO: Dicha propuesta fue notificada a DTS en fecha 15/10/2014, solicitando el 28//10/2014 (entrada en esta Agencia el 03/11/2014) ampliación del plazo del periodo de alegaciones que le fue denegado el 05/11/2014. HECHOS PROBADOS PRIMERO: En fecha 14/05/2013 tuvo entrada en la Agencia Española de Protección de Datos escrito presentado por el denunciante en el que denuncia a DTS manifestando lo siguiente: En el mes de marzo recibe una llamada de CANAL+ reclamándole una deuda por un contrato realizado en el mes de febrero de este año, contesta indicando que debe ser un error ya que desde hace más de ocho años no es cliente, que con su nombre y apellidos es probable que tengan más clientes, si bien el día 8 de abril le vuelven a llamar insistiendo en el pago de la deuda. La compañía ha facilitado el contrato al denunciante en cuyas Condiciones Generales de Contratación, de fecha 6 de febrero de 2013, constan los siguientes datos del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 denunciante: nombre, apellidos y NIF, si bien la dirección postal, el teléfono, la tarjeta, la cuenta corriente y la firma no corresponden al denunciante y ha sido realizado en la localidad de Talavera, pero el denunciante reside en Oviedo. Por lo que atribuyeron el contrato a su NIF al coincidir el nombre y apellidos y no verificaron la identidad además de no cancelar sus datos personales y no han solucionado el error. Que se personó en una sucursal de la entidad Barclays Bank, entidad que figura en el contrato, le confirman que no consta cuenta corriente a nombre del denunciante, por lo que CANAL + debió cruzar los datos que tenía desde hace ocho años con el nuevo cliente sin verificar el DNI (folios 1-2) SEGUNDO: En fecha 06/05/2013 el denunciante presentó en la Comisaría de Policía de Oviedo denuncia en los mismos términos contenidos en la denuncia formulada ante esta Agencia. Señala el denunciante que los hechos denunciándoos sucedieron en la dirección (C/.............1)(Toledo). Dicha denuncia motivó la apertura de expediente por parte de la Fiscalía de Menores de Toledo ya que los hechos denunciados constitutivos de un posible delito de estafa fueron presuntamente cometidos por un menor, expediente que fue archivado en fecha 24/02/2014 por el Juzgado de Menores nº 1 de Toledo al no quedar acreditada la autoría de los hechos por el menor (folios 118-123, 207-208) TERCERO: El denunciante es titular del NIF ***NIF.1, en el cual figura como su domicilio (C/...........1), Oviedo, mismo domicilio que figura en la denuncia formulada ante la Agencia (folios 1, 4-5) CUARTO: En los ficheros de DTS constan los datos personales del denunciante (nombre y apellidos y DNI) como titular de un contrato de servicio de televisión digital con fecha de alta 06/02/2013. Figura como dirección postal (C/.............1)(Toledo) y datos bancarios ***CCC.1. El contrato se encuentra anulado, con el equipo decodificador pendiente de entregarse y con un importe pendiente de 324,05 €. Se ha excluido al cliente del proceso de recuperación de los equipos y de la deuda, de manera cautelar a la espera de resolución de la denuncia interpuesta por el denunciante ante esa Agencia (folios 133-134, 154, 249) QUINTO: La contratación del servicio de DTS fue efectuada por AGORA, entidad con la que, en fecha 31/07/2012, DTS suscribió un contrato para comercializar y contratar con los potenciales clientes los servicios de DTS. El citado contrato contiene en su clausulado lo siguiente: “Octava.- Protección de Datos El presente contrato se regirá por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD) y en su Reglamento de Desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD). Puesto que, la realización de los trabajos objeto del presente contrato podrá comprender la obtención del consentimiento de los nuevos clientes de DTS por parte de AGORA, AGORA se constituye, a los efectos del presente Contrato, en Encargado del tratamiento de acuerdo con el contenido del art. 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y se compromete a cumplir sus obligaciones como tal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 Las partes acuerdan que en virtud del presente contrato, AGORA será encargado del tratamiento de los datos personales obtenidos como consecuencia de las acciones establecidas en el mismo, de los que DTS será titular en todo caso. …
2. d)Colaboración en la captación de clientes en favor de DTS Los datos que sean recabados por AGORA directamente del interesado para la prestación del servicio objeto de este contrato serán propiedad de DTS y serán comunicados a través de la herramienta “canal de ventas” propiedad de DTS a un fichero responsabilidad de DTS (en adelante, Fichero 2). Para ello, AGORA se compromete a informar y obtener el consentimiento expreso de los afectados para la recogida de los datos en nombre de DTS y para el tratamiento de sus datos por parte de DTS a través de las cláusulas informativas señaladas al efecto en el argumentarlo básico recogido en el Anexo II. … AGORA deberá grabar las conversaciones de todas las llamadas que haga en favor de DTS, en soporte apto acordado por las partes para la reproducción del sonido de las llamadas telefónicas que lleve a cabo AGORA, así como de acreditar en todo momento el efectivo cumplimiento de la normativa de protección de datos y de la sociedad de la información por su parte y en concreto, al efecto de acreditar la obtención del consentimiento del cliente que solicite contratar los servicios de DTS y la recogida de los datos conforme a la normativa vigente. AGORA deberá custodiar dichas grabaciones y entregarlas diariamente a través de una ruta FTP de DTS que se habilitará para dicha campaña” DTS no ha aportado grabación de la contratación (folios 154-155, 181-199). SEXTO: Consta en el expediente copia de un “contrato de suministro y recepción de servicios de televisión digital relativo al servicio iPlus y al terminal iPlus” y un anexo, de DTS, fechados el 06/02/2013. En el contrato figura en el apartado “datos personales del cliente”, el nombre y apellidos denunciante, su número de DNI, la dirección (C/.............1) y teléfono de contacto ***TEL.1. En el apartado de servicios contratados figura un “Paquete Selección+” por importe de 28,70 €, y una cuota de inscripción (impuestos no incluidos) de 14 €. En el apartado correspondiente a “Domiciliación bancaria” figura la cuenta bancaria ***CCC.2 y como titular de la misma figura el nombre y apellidos del denunciante y du NIF. El contrato figura firmado en los apartados “tarjetas autorizadas”, “Firma del cliente y fecha” y “Domiciliación bancaria”, firmas que son similares entre sí, y que son manifiestamente distintas de la firma del denunciante plasmada en su DNI y otros documentos obrantes en el expediente (denuncias formuladas ante la Policía y esta Agencia y escrito de personación como interesado en el presente procedimiento). En el documento de anexo al contrato figura, al igual que en éste, en el apartado “datos personales del cliente”, el nombre y apellidos denunciante, su número de DNI, la dirección (C/.............1) y teléfono de contacto ***TEL.1. La firma contenida en el apartado “Firma del cliente y fecha” es la misma que las contenidas en el contrato y distinta a las ya mencionadas anteriormente que corresponden indubitadamente al denunciante. El contrato tenía un compromiso de permanencia de alta en el servicio de 18 meses (folios 3, 117, 154, 175-179,) SEPTIMO: DTS emitió al denunciante las siguientes facturas del contrato con domicilio de facturación en (C/.............1) de la Reina, facturas que fueron impagadas ascendiendo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 la deuda total al importe de 324,05 €: - Factura fecha 01/03/2013 por importe de 50,99 €, impagada. Factura fecha 01/04/2013 por importe de 102,05 € impagada. Factura fecha 21/10/2013 por importe de 101 € (penalización cuota de inscripción), impagada Factura fecha 21/10/2013 por importe de 121 € (penalización coste de instalación) (folios 134, 154, 158-164). - OCTAVO: En los sistemas de DTS constan los siguientes contactos mantenidos con el denunciante: - - - - 09/04/2013: el denunciante pone en conocimiento de DTS que se le está reclamando el impago de varias mensualidades lo cual debe ser un error pues es dejó de ser cliente hace 10 años. Informado por el operador que le atiende se le facilitan los datos del contrato: nombre y apellidos y NIF (que coinciden con los suyos) y cuenta bancaria y dirección de instalación del servicio (que no reconoce como propios) 11/04/2013: DTS le solicita que envíe una copia de su DNI. 12/04/2013: el denunciante envía a DTS copia de su DNI. 15/04/2013: el denunciante pregunta si DTS ha comprobado si la firma del contrato que s ele atribuye coincide con la de su DNI, y en caso negativo, se estaría ante una suplantación de personalidad. Solicita a DTS que le envíe copia del contrato que se le atribuye la titularidad. 19/04/2013: DTS le informa que ha trasladado su petición al departamento correspondiente. 23/04/213: DTS envía al denunciante copia del contrato. 23/04/2013: el denunciante informa a DTS que la firma que figura en el contrato no es la suya, así como el teléfono de contacto, dirección del servicio y la cuenta bancaria. Lo único coincidente es su nombre y apellidos y su DNI. 25/04/2013, 26/04/2013 y 29/04/2013: DTS le solicita su número de cliente, NIF, nombre o dirección completa para poder localizarle en su base de datos y resolver su reclamación. 25/04/2013 y 26/04/2013: el denunciante informa a DTS que esos datos están en los anteriores correos remitidos. 29/04/2013: el denunciante envía de nuevo a DTS copia de todos los corres remitidos anteriormente sobre el asunto. 03/05/2013: DTS le informa que examinado su contrato consta de alta con fecha 06/02/2013 y que con fecha 23/04/2013 se le envió copia del mismo. 03/05/2013: el denunciante vuelve a reiterar a DTS que la firma que figura en el contrato no es la suya, así como el teléfono de contacto, dirección del servicio y la cuenta bancaria. Lo único coincidente es su nombre y apellidos y su DNI, y que él no es cliente de DTS. 06/05/2013. DTS le informa que al constar un contrato firmado a su nombre y DNI no pueden realizar ninguna otra gestión. 06/05/2013: el denunciante manifiesta a DTS que pueden comprobar que ese DNI no figura asociado a la cuenta bancaria de pago de recibos, comprobación que él ha efectuado con la entidad bancaria. 08/05/2013: DTS le informa que traslado su reclamación al departamento afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 - - - 12/06/2013: el denunciante reitera su reclamación ya que ha recibido llamada de DTS reclamando el pago de deuda. 12/06/2013: DTS informa al denunciante que el 07/05/2013 han recibido de la Brigada Local de Policía Judicial de Talavera y que han respondido a lo requerido por dicha autoridad el 10/05/2013. 14/06/2013 el denunciante pregunta a DTS su esa comunicación a la Policía se debe a una denuncian interpuesta por la propia DTS o con motivo de su denuncia formulada el 06/05/2013 ante la Comisaría de Policía de Oviedo. 20/06/2013: DTS informa al denunciante que el 07/05/2013 han recibido de la Brigada Local de Policía Judicial de Talavera y que han respondido a lo requerido por dicha autoridad el 10/05/2013. 20/06/2013: el denunciante pregunta a DTS cuáles son las actuaciones que va a realizar respecto a su reclamación teniendo en cuenta que el 11/06/2013 ha recibido una llamada de DTS reclamando regularizar el contrato (pago deuda) 21/06/2013: DTS le informa que están a la espera que la Brigada Local de Policía Judicial de Talavera de la Reina realice las diligencias pertinentes y les de respuesta. 04/09/2013: el denunciante solicita información sobre su reclamación. 04/09/2013: DTS le insta a que, para recibir información sobre su caso, contacte con la Brigada Local de Policía Judicial de Talavera de la Reina. 20/12/2013: el denunciante informa a DTS que ha recibido en su domicilio una comunicación de ADTS reclamándole el pago de 102,05 €, y reitera que se le reclama una deuda en relación a un contrato que no ha sido firmado por él, que ha sido denunciado ante la Policía (como ya conocen), y que si hubieran solicitado copia del DNI al formalizar el contrato no hubiera sucedido tal hecho. 24/12/2013: DTS le informa que traslada su reclamación al departamento afectado (folios 16-116, 135-153, 166-173) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros y los encargados de los tratamientos (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por DTS e IGONSA puede subsumirse o no en tales definiciones legales, es decir, si es responsable del fichero y/o tratamiento, y en caso afirmativo si están o no legitimadas para el tratamiento de datos del denunciante, y por ende verificar la prestación del consentimiento de éste o la ausencia del mismo. En este punto debemos recordar que el contrato cuya titularidad niega el denunciante fue efectuado por AGORA en su condición de encargado del tratamiento en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 nombre de DTS, responsable del fichero al cual se incorporaron los datos del denunciante al darle de alta el 06/02/2013, como titular de un servicio de televisión digital, por el cual se le emitieron facturas cuyo pago se le reclamó posteriormente. Señalar que la contratación fue efectuada por AGORA entidad con la que, en fecha 31/07/2012, DTS suscribió un contrato para comercializar y contratar con los potenciales clientes los servicios de DTS. El citado contrato contiene en su clausulado lo siguiente: “Octava.- Protección de Datos El presente contrato se regirá por lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD) y en su Reglamento de Desarrollo, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD). Puesto que, la realización de los trabajos objeto del presente contrato podrá comprender la obtención del consentimiento de los nuevos clientes de DTS por parte de AGORA, AGORA se constituye, a los efectos del presente Contrato, en Encargado del tratamiento de acuerdo con el contenido del art. 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y se compromete a cumplir sus obligaciones como tal. Las partes acuerdan que en virtud del presente contrato, AGORA será encargado del tratamiento de los datos personales obtenidos como consecuencia de las acciones establecidas en el mismo, de los que DTS será titular en todo caso. …
4. d)Colaboración en la captación de clientes en favor de DTS Los datos que sean recabados por AGORA directamente del interesado para la prestación del servicio objeto de este contrato serán propiedad de DTS y serán comunicados a través de la herramienta “canal de ventas” propiedad de DTS a un fichero responsabilidad de DTS (en adelante, Fichero 2). Para ello, AGORA se compromete a informar y obtener el consentimiento expreso de los afectados para la recogida de los datos en nombre de DTS y para el tratamiento de sus datos por parte de DTS a través de las cláusulas informativas señaladas al efecto en el argumentarlo básico recogido en el Anexo II. … AGORA deberá grabar las conversaciones de todas las llamadas que haga en favor de DTS, en soporte apto acordado por las partes para la reproducción del sonido de las llamadas telefónicas que lleve a cabo AGORA, así como de acreditar en todo momento el efectivo cumplimiento de la normativa de protección de datos y de la sociedad de la información por su parte y en concreto, al efecto de acreditar la obtención del consentimiento del cliente que solicite contratar los servicios de DTS y la recogida de los datos conforme a la normativa vigente. AGORA deberá custodiar dichas grabaciones y entregarlas diariamente a través de una ruta FTP de DTS que se habilitará para dicha campaña” Ni AGORA, en su condición de encargado de tratamiento, ni DTS, como responsable del fichero han aportado la grabación que acredite la contratación del servicio por parte del denunciante y ello, a pesar de que el contrato suscrito conforme al artículo 12 de la LOPD, establecía de manera imperativa que las contrataciones telefónicas efectuadas por AGORA por cuenta de DTS y se remitirían diariamente a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 DTS, por lo que no resulta admisible la argumentación de DTS referida a que actuó de manera diligente ante la reclamación del denunciante por cuento una vez que tuvo conocimiento el 09/04/2013 de su reclamación, debería haber localizado la grabación de la contratación (que debería obrara en su poder con acorde a lo establecido en el contrato) y, caso de no estar en posesión de la misma y por tanto en condiciones de acreditar la relación contractual y el consentimiento del denunciante, cesar inmediatamente en el tratamiento de sus datos, cosa que no ocurrió, resultando que en el denunciante tuvo que reiterar sus reclamaciones hasta diciembre de 2013, sin obtener resultado alguno por parte de DTS, que recordemos debía probar la existencia de relación contractual, y no el denunciante acreditar que no había suscrito el contrato controvertido. Así las cosas cabe señalar que corresponde siempre al responsable del tratamiento, en este caso, AGORA y DTS, comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. “Respecto al consentimiento – dice la sentencia de la Audiencia Nacional de 4 de marzo de 2009 - , es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. Más recientemente la STAN de 27 de enero de 2011, (Rec 349/2009), ratifica el criterio precedente y en su Fundamento de Derecho Tercero señala: “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 DTS y AGORA no han aportado prueba suficiente que acredite que contara con el consentimiento inequívoco del denunciante para poder llevar a cabo el tratamiento de datos personales realizado referido al contrato de servicio de televisión digital objeto de denuncia. Ha resultado probado que AGORA, como responsable del tratamiento, y DTS, como responsable del fichero, registraron los datos personales del denunciante en el fichero de clientes de DTS, en especial, su nombre, apellidos y NIF., asociados a un servicio de televisión digital en el domicilio (C/.............1)(Toledo), con el cual el denunciante manifiesta no tener relación alguna por cuanto acredita mediante copia de su NIF y denuncia efectuada en la Comisaría de Policía de Oviedo, que su domicilio es (C/...........1), Oviedo. DTS emitió facturas por dicho servicio que resultaron impagadas imputando al denunciante una deuda total de 324,05 €, por el impago de todas la facturas de marzo y abril de 2013 (102,05 €) y de octubre de 2013 por penalización cuota de inscripción (101 €) y penalización por coste de instalación (121 €). El denunciante interpuso, el 06//05/2013, denuncia en la Comisaría de Policía de Oviedo negando ser titular de dicho contrato, denuncia que remitió a DTS en fecha 08/05/2013. DTS y AGORA no han aportado a esta Agencia documentación suficiente, aparte del contrato indicado (que el denunciante no reconoce haber suscrito), que acredite que contara con el consentimiento del denunciante para el tratamiento de sus datos de carácter personal, que ha quedado detallado más arriba. Cabe decir por tanto que, ante la falta de acreditación por parte de las entidades imputadas del consentimiento inequívoco del denunciante para el tratamiento de sus datos personales, y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD. El principio de consentimiento se configura como principio básico y esencial en materia de protección de datos, y así se recoge en numerosas sentencias de la Audiencia Nacional, que excusa cita. No obstante, respecto a la activación de servicios no contratados, y en consecuencia del tratamiento de datos personales sin consentimiento para ello, puede ilustrarnos por todas la sentencia de la Audiencia Nacional de fecha 28 de mayo de 2008 (R. 475/2008). El GRUPO DE PROTECCIÓN DE DATOS DEL ARTÍCULO 29, creado en virtud del artículo 29 de la Directiva 95/46/CE como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad, en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. La prueba del consentimiento plantea una cuestión relacionada con lo anterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 Los responsables del tratamiento que se basen en el consentimiento pueden desear o necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa que el consentimiento debería ser demostrable”. Abundando en este sentido, procede citar la sentencia de la Audiencia Nacional de fecha 21 de diciembre de 2001 en la que se declaraba que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. (…) (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, (...) debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Corresponde por tanto a DTS desplegar la diligencia debida para comprobar la autenticidad del contrato, es decir, que el consentimiento está obtenido válidamente, a través de la comprobación de los requisitos exigidos por la LOPD para entenderse válidamente prestado. A este respecto es preciso traer al caso, la Sentencia de la Audiencia Nacional de fecha 18/05/2005, en cuyos Fundamentos de Derecho Quinto y Sexto señala lo siguiente: “En primer lugar, se ha de señalar, como hemos mantenido en distintas sentencias, que el principio del consentimiento o autodeterminación constituye uno de los fundamentos esenciales de la normativa que regula el tratamiento automatizado de los datos personales de un individuo. La garantía de dicho principio radica en que el afectado preste su consentimiento consciente e informado, a fin de que esa recepción de datos y su posterior tratamiento sean lícitos, no admitiéndose vaguedades respecto a la formalización de ese consentimiento y respecto a que sea claro e indubitado ... A lo largo del discurso mantenido por la parte actora, tanto en vía administrativa, como ahora en sede judicial, se aprecia con claridad que la misma en ningún caso ha cuestionado datos de los hechos probados del acto recurrido que son esenciales para la resolución del presente pleito. Así, no ha negado, ni por ende desvirtuado, el hecho de que, en varios contratos de los que los afectados han dicho que su firma no es la suya, la que aparece estampada no se parece, a primera vista, a la de los mismos, ni que, efectivamente, no obstante serle remitidos por las distribuidoras diariamente los contratos, la misma no poseía las fotocopias de los DNI de los clientes que supuestamente firmaban esos contratos, a pesar de lo que establece la cláusula 6.2.2 del contrato que mantenía xxx, ahora xxx, con las distribuidoras y que se recoge textualmente en esos hechos probados cuya veracidad no ha sido cuestionada por la recurrente. Esos hechos probados constituyen, en un primer momento, una clara vulneración del mencionado principio del consentimiento que informa la vigente Ley Orgánica de Protección de Datos (LOPD), pues evidentemente la hoy recurrente, desde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 el momento en que da de alta al supuesto usuario del servicio que la misma presta con base en esos contratos que le ha entregado la distribuidora, está ya llevando a cabo un tratamiento de datos personales que requiere necesariamente el consentimiento inequívoco del afectado, lo que le obliga a comprobar de forma diligente la identidad de la persona con la que contrata. Ello, aparte de que lo exige el sentido común, también lo obligaba el propio contrato que suscribió dicha entidad con las distribuidoras cuando establecía que éstas le tenían que remitir fotocopia de DNI del usuario en cuestión. Como se ha expuesto, con la inspección llevada a cabo por la Agencia de Protección de Datos se probó que la entidad actora carecía de esas fotocopias. A ello se ha de añadir lo también acreditado de que los siete usuarios referidos han alegado que no firmaron esos contratos y que su firma, en muchos casos, no coincidía con la suya, lo cual se podía haber verificado en su momento con la aportación de la fotocopia del carné de identidad; incluso en un caso a la fecha de la supuesta firma del contrato el usuario ya había fallecido. Sin embargo, y como comprobaron los funcionarios de la Agencia, la demandante dio de alta en el servicio de reasignación a esos siete denunciantes, si bien en sus ficheros se hacía referencia a la posibilidad de un posible fraude. En este sentido señala la sentencia citada ut supra que “En su demanda la actora reitera su posición de atribuir la culpa de esos hechos ciertos a las distribuidoras, lo cual, ligado a lo dicho de que en sus ficheros se hacía mención a un posible fraude, significa un reconocimiento implícito de los hechos, pero es que ella es la responsable, obviamente, de tratar los datos personales de los usuarios sin su consentimiento, porque no hay que olvidar que en esos contratos quienes aparecen como partes son la misma, en cuanto prestadora del servicio, y el usuario que lo recibe, y no quien media en su celebración, por lo que, se insiste, aparte de que lo obligaba el contrato que tenía firmado con la distribuidora, quien trata de forma automatizada esos datos, a consecuencia de dar de alta al afectado, es la única, a tenor de los establecido en el art. 6.2 de la LOPD, que debe asegurarse de que recibe el consentimiento inequívoco de este último. La mera no exigencia de la fotocopia del DNI del supuesto usuario ya constituye, como mínimo, la falta de observancia que llevaría a la recurrente a responsabilizarla de esa infracción, pero esta Sala considera que esa culpabilidad va más allá, pues constituye una clara falta de diligencia, porque si no se ha recibido esa documentación, debería, antes de dar a nadie de alta en un servicio, comprobar por otros medios, aunque sea de forma telefónica, etc, que esa era la persona que realmente había pedido el alta en el servicio” . ( el subrayado es de la Agencia Española de Protección de Datos). En cuanto al contrato aportado cabe aludir a la Sentencia de la Audiencia Nacional de fecha 23/06/2011 que en su Fundamento de Derecho quinto señala lo siguiente: “En el presente supuesto debe partirse del dato fundamental de que XXXXXXX afirma clara y contundentemente que jamás ha contratado con CLUB INTERNACIONAL DEL LIBRO; DIVISIÓN DE CREDITO ninguna clase de producto por lo que no se justifica ni el tratamiento que la recurrente ha realizado de sus datos personales ni, menos aún, que los haya dado de alta en fichero de morosidad. Habría sido necesario, para que CLUB INTERNACIONAL DEL LIBRO; DIVISIÓN DE CREDITO hubiera podido tener por acreditado que ha sido víctima de un engaño que se hubiera reclamado a la supuesta cliente la aportación de la fotocopia de su DNI y ello pues esa es la única manera de tratar de evitar que se produzca una suplantación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 personalidad. Resulta que la entidad recurrente incorporó a su sistema de información de clientes los datos de la denunciante sin disponer de acreditación de la efectiva contratación por el mismo. Por lo que el tratamiento posterior de tales datos personales para la emisión de facturas derivadas de una contratación que no se había producido supuso, por parte de la entidad recurrente, la imputación de una deuda que resultó no ser cierta, vencida ni exigible. Posteriormente, ante el impago de las facturas, esa entidad informó sus datos personales al fichero de solvencia patrimonial "ASNEF" a pesar de que el afectado ya había comunicado que no había contratado ningún servicio con la operadora de telefonía móvil. En este caso no puede olvidarse el dato fundamental de que la empresa ahora recurrente no ha podido acreditar la firma del contrato ni ha aportado la copia firmada por el denunciante por lo que no ha podido hacer frente a la carga de la prueba. Esta Sala se ha pronunciado en varias ocasiones (sentencias de los recursos 465/2008 ó 565/2009) en relación a conductas de empresas que han sido objeto de fraudes ó engaño y ello no ha justificado la eliminación de la culpabilidad como elemento sustancial de la infracción y ello pues como se dijo en la sentencia del recurso 1161/2002 la culpabilidad de la empresa no puede considerarse excluida ni atenuada por el hecho de que haya mediado la posible actuación delictiva de un tercero que no ha podido ser identificado, pues la responsabilidad de la empresa ahora demandante no deriva de la actuación de éste sino de la suya propia y la infracción que estamos examinando -el tratamiento de los datos personales sin que conste el consentimiento del titular, que trae causa, a su vez, de la celebración de un contrato sin las debidas cautelas y garantías- es independiente de la conducta delictiva que pudiera ser investigada por la jurisdicción penal. Téngase en cuenta que la empresa ahora recurrente no ha podido acreditar el cumplimiento de las exigencias mínimas impuestas por la diligencia normal en la contratación derivada de la venta a distancia que habrían obligado a conservar y custodiar la documentación personal del cliente (DNI, pasaporte) ó haber acredita alguna actividad posterior a la contratación para verificar la realidad de esta mediante la llamada de comprobación que tampoco consta que se hubiera producido.” IV La disposición final quincuagésima sexta, de la Ley 2/2011, de 4 de marzo, de Economía Sostenible, ha modificado varios artículos de la LOPD, dando nueva redacción al artículo 44, en concreto a sus apartados 2 a 4. Por otra parte, la Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) - al decir en su Exposición de Motivos (punto 17) que “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 De este modo, el artículo 44.3.
5. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. V Procede a continuación abordar si la conducta observada por DTS Y AGORA que, vulnera el artículo 6.1 de a LOPD, puede subsumirse en el tipo sancionador contemplado en el artículo 44.3.
6. b)y si, en tal caso, dicha infracción es imputable a dichas entidades. A) Respecto a la primera de las cuestiones planteadas, constatado que la entidad realizó la acción típica – infracción de los principios del consentimiento y de calidad del dato–, debemos analizar si concurre el elemento subjetivo de la culpabilidad cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. En STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
7. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la STAN anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. En el supuesto que nos ocupa el elemento subjetivo de la culpabilidad se concreta en la falta de diligencia observada por AGORA como por DTS al tiempo de la contratación, celebrada en 06/02/2013, toda vez que como se recoge en los Fundamentos de Derecho precedentes no adoptó las medidas a las que viene obligada por la normativa de protección de datos a fin de garantizar que quien presta el consentimiento es efectivamente el titular de los datos tratados. En este sentido si se hubiera requerido copia del DNI de la titular del servicio contratado se hubiera comprobado fácilmente que la firma del contrato no era la suya, al margen de no aportar copia de la grabación de la contratación que AGORA estaba obligada a realizar y DTS a comprobar su existencia entes de dar de alta el contrato en sus ficheros facturar el servicio. B) Respecto a la segunda de las cuestiones planteadas, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
8. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En consecuencia, por todo lo que antecede, se considera infringido el artículo 6.1 de la LOPD por parte de DTS y AGORA que son responsables de dicha infracción al artículo citado, por lo que se desestima las alegaciones de DTS al respecto y por cuanto AGORA no ha efectuado ninguna. VI El artículo 45 de la LOPD, en sus apartados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
24. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En lo que respecta a la falta de perjuicios causados al denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Las pruebas obrantes en el procedimiento y las alegaciones realizadas, no acreditan que DTS regularizara la situación denunciada de manera diligente por cuanto emitió facturas en marzo, abril y noviembre de 2013, cuando en fecha 09/04/2013 recibió la primera reclamación del denunciante negando la titularidad del contrato, reclamación a la que siguieron otras muchas en abril, mayo, junio, septiembre y diciembre de 2013, sin que se anulara el contrato y las facturas emitidas habida cuenta que no existía grabación que acreditara que fuera efectuado por el denunciante, como así éste había manifestado reiteradamente y denunciado en la Comisaría de Policía de Oviedo, hecho del cual DTS, tuvo conocimiento el 06/05/2013. Por todo ello, procede imponer a DTS por la infracción del artículos 6.1 multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, la ausencia de beneficios obtenidos, procede la imposición de una multa de 50.000 €. Por lo que respecta a AGORA si cabe aplicar lo dispuesto en el artículo 45.5.
25. a)de la LOPD por cuanto cabe apreciar una cualificada disminución de la culpabilidad por la concurrencia de las siguientes circunstancias: - El volumen del tratamiento es reducido. - La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal es escasa, pues la empresa fue contratada por DTS para la prestación del servicio de telemarketing y distribución de productos de DTS, estando, por tanto, su actividad provisionalmente relacionada con el tratamiento de datos personales. - El beneficio obtenido no se ha acreditado, aunque puede deducirse que no ha habido. - La imputada no ha sido objeto de sanción por infracciones similares. - No se ha acreditado daño cuantificable en euros. Valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, y habida cuenta de que concurre en el presente caso diversas circunstancias de las exigidas para la aplicación del 45.5.
26. a)procede imponer sanción dentro del tramo inferior, el de las leves. Además, sin perjuicio de las consideraciones precedentes, ante los hechos acaecidos, se estima conveniente valorar y encuadrarla en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 el apartado
27. j)del artículo 45.4, (“cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”), considerándola como una circunstancia atenuante de la culpabilidad. Conforme a lo anteriormente expuesto procede imponer a AGORA una multa de 3.000 € por la infracción del artículo 6.1 de la LOPD de la que es responsable. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
28. b)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad AGORA CONTROL Y GESTION EMPRESARIAL, S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
29. b)de dicha norma, una multa de 3.000 € (tres mil euros) de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A., AGORA CONTROL Y GESTION EMPRESARIAL, S.L., y a .D. A.A.A. . CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es