← España

PS-00254-2013

1/23 Procedimiento Nº PS/00254/2013 RESOLUCIÓN: R/02374/2013 En el procedimiento sancionador PS/00254/2013, instruido por la Agencia Española de Protección de Datos a las entidades --GALP ENERGIA ESPAÑA, S.A.U--., y --PARTEC REPRESENTACIONES S.L--, vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: D. A.A.A. (en lo sucesivo el denunciante) en escrito ante esta AEPD manifiesta de manera sucinta que a finales de febrero de 2012, se presentaron en su domicilio dos comerciales, diciéndole que pertenecían a Gas Natural, y pidiéndole que le entregara sus facturas relativas a los servicios de energía que tenía contratados, procediendo a realizar una serie de anotaciones de sus datos sin su consentimiento. Asimismo, le pidieron su número de cuenta “para comprobar si todo estaba bien”, tomando nota de los últimos números de la misma. Abusando de su buena voluntad, y de que no entiende todo en español, sin su consentimiento, acabó recibiendo en casa cargos de la compañía--Galp Energía--, que había realizado cambios de los contratos y servicios de gas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GALP ENERGIA ESPAÑA, S.A.U., teniendo conocimiento de que: Con fecha de entrada 05/04/2013, a requerimiento de la Agencia, la entidad denunciada acompaña una copia del contrato de gas suscrito, en el que –además de gas naturalaparecen marcadas las casillas “Electricidad”, “Servicios de ConfortGas básico” y “ConfortHogar”. Sin embargo, la compañía denunciada no acompaña copia del DNI del denunciante, ni pasaporte o cualquier otro documento acreditativo de la identidad del contratante. La fecha de dicho contrato es 17/02/2012.  En los ficheros de la entidad figura que se ha contratado el suministro de gas entre las fechas 01/04/2012 y 21/05/2012 por cambio de comercializadora.  También se ha contratado el servicio de mantenimiento ConfortGas Básico con fecha de alta 29/03/2012 y cese fijado para el 28/03/2013.  El alta en el servicio de Electricidad se realizó el 16/04/2012 y la baja el 27/06/2012.  El alta en el servicio ConfortHogar se realizó el 29/03/2012, con cese fijado para el 28/03/2013.  En los ficheros de la entidad consta que el denunciante mantiene una deuda pendiente de 219,71 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23 En el fichero de contactos con el cliente consta lo siguiente:  Con fecha 18/05/2012, el cliente solicita que le envíen las copias de los contratos activos actualmente con Galp Energía a su domicilio, ofreciendo un número de teléfono de contacto.  Con fecha 25/05/2012, figura que, desde la OMIC del Ayto. de Torrejón se recibe escrito de reclamación de fecha 24/05/2012, en el que el cliente indica que un comercial le dio de alta sin su consentimiento, negando haber firmado nada, tanto en relación con los suministros como con los servicios de mantenimiento (alta fraudulenta).  Con fecha 28/05/2012, a través de nota interna, la compañía indica que “se comprueba en sistemas aviso el alta, procediéndose al cese en relación con la futura renovación de los servicios C.Hogar y C.Gas Básico, como solicita el cliente, enviándole carta informativa y adjuntando el contrato.  Con fecha 29/05/2012, se envía carta con resolución a la OMIC del Ayto. de Torrejón de Ardoz, indicando que se han realizado las comprobaciones oportunas de las que se deduce la constancia de la contratación a fecha de 29 de marzo de 2012, y adjuntando el contrato. Se indica que, no obstante, se procederá a la baja de los contratos de mantenimiento, con efectos previstos para el 28 de marzo de 2013.  Con fecha 02/07/2012, el cliente vuelve a reclamar el envío de las copias de los contratos activos actualmente con Galp Energía, a su domicilio, ofreciendo teléfono de contacto. “Se pide por favor que se le envíe lo antes posible por estar nerviosísima la titular, debido a que no ha firmado nada con Galp Energía y no entiende cómo es posible que se le hayan activado contratos que no ha firmado”.  Con fecha 17/08/2012, figura nota interna de la compañía en la que se especifica que, con fecha 16/08/2012, se ha procedido a remitir carta al cliente en la que se indica que se han realizado las oportunas comprobaciones, adjuntándole contrato en el que tienen constancia de su firma.  Con fecha 01/10/2012, consta anotación de la compañía en la que refiere que, con fecha 27/09/2012, se recibe escrito de la D.G. Consumo de la CAM. El cliente solicita que se le dé de baja en todos los servicios ya que él no los ha contratado.  Con fecha 01/10/2012, se envía copia de contrato tramitado, constando en dicha fecha la previa intervención de la D.G. Consumo de la CAM.  Con fecha 01/10/2012, se envía carta de resolución, en la que se indica que se han realizado comprobaciones, encontrándose el contrato “perfectamente cumplimentado”. No obstante se indica que se procederá a la baja en los servicios de mantenimiento a su vencimiento, el 28 de marzo de 2013. Ya consta el cambio de compañía comercializadora de suministro de gas con fecha 21 de mayo de 2012.  Con fecha 27/11/2012, consta en los archivos de la entidad la indicación de que el cliente “no piensa pagar nada, que no es su firma y que la cuenta es falsa”.  Con fecha 22/03/2013, consta –de nuevo- envío de copia del contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23 Según figura en los ficheros de la entidad la fuerza de ventas responsable de la contratación es Partec Representaciones. Según ha quedado acreditado en el Acta de Inspección E/6200/2012 realizada en la entidad Partec Representaciones S.L. (en adelante Partec): La actividad única de la entidad ha sido la comercialización de productos y servicios de Galp Energía, si bien actualmente no tiene ningún tipo de actividad, y la disolución final se producirá cuando finalicen los contenciosos que tienen interpuestos. 1.1 El único cliente que ha tenido Partec como empresa ha sido Galp. Comenzó a trabajar con ella en marzo de 2011 mediante contrato verbal. Inicialmente no recibe ninguna instrucción concreta de Galp en cuanto a la forma de proceder para recabar los datos personales incluidos en el contrato, sólo recibe los contratos de Galp en blanco para que los comerciales de Partec los cumplimenten. Siguiendo las instrucciones de Galp recibidas por correo electrónico no se consideraba necesario que el contrato estuviese firmado por el titular del suministro contratado, podía ser firmado por cualquier persona que se encontrase en el domicilio apelando al criterio del comercial (esposa, inquilino, hijo, etc….). En junio de 2012, Partec recibe un nuevo correo electrónico modificando este procedimiento. A partir de ese momento, los comerciales deben recabar los datos personales y firmar el contrato con el titular del servicio y si era inquilino debía aportar copia del DNI y autorización del titular del suministro. En febrero de 2012 se firma un contrato por escrito donde sí figuran instrucciones concretas. Actualmente el contrato firmado entre ambas empresas se encuentra disuelto desde el 15 de octubre de 2012. 1.2 Partec llegó a tener entre 70 o 75 comerciales con los que tenía firmado un contrato mercantil. A los comerciales se los captaba en la calle y sin recibir ninguna formación concreta sobre los tratamientos de datos personales que debían realizar comenzaban a comercializar los productos y servicios de Galp a puerta fría, sin recibir con antelación ningún dato personal de los potenciales clientes. En marzo de 2012 Galp elabora un código de conducta para los comerciales que remite a Partec y se incluye en el contrato mercantil que firmaban los comerciales que se incorporan a partir de esa fecha. 1.3 Partec entregaba en la sede de Galp en Alcobendas los contratos en papel que le entregaban sus comerciales. Pasados unos 15 días, Galp abonaba a Partec el importe pactado por la confección de los mismos. Partec no se quedaba con copia de los contratos, únicamente recogía en un documento Excel el listado de los domicilios donde se habían firmado contratos para chequear el correcto pago por parte de Galp. Una vez cobrados los servicios, se destruía el citado documento. Actualmente, guardan copia de los documentos Excel últimos porque están pendientes de cobrar y están en proceso judicial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 TERCERO: Con fecha 14 de mayo de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las Entidades --GALP ENERGIA ESPAÑA, S.A.U--. y a la Entidad --PARTEC Representaciones SL--, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (*en lo sucesivo LOPD), tipificadas como infracción grave en el artículo 44.3

  1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad --GALP ENERGIA ESPAÑA, S.A.U.--, mediante escrito de fecha 11/06/2013 formuló alegaciones, significando, que: En relación a los hechos alega el denunciante que dos comerciales que se identificaron como de la compañía Gas Natural obtuvieron datos suyos sin su consentimiento con la excusa de “comprobar si todo está bien”. Aporta además un contrato en blanco de la Compañía Gas Natural Fenosa. Desconocemos cuál esa información que proporcionaron los comerciales y si se identificaron como empleados de Gas Natural o de Galp, pero la realidad es que el denunciante entregó su DNI voluntariamente, como él mismo alega en la denuncia. Es raro pensar que alguien entregue su DNI de manera inconsciente o sin ánimo de que se utilice con alguna finalidad. La compañía ha venido tratando los datos del denunciante con buen fe y presumiendo en todo momento el consentimiento para el trtamiento. Sobre Partec Representaciones. Actualmente, se están preparando acciones judiciales contra PARTEC en base a un delito de estafa contra Galp, acciones que presentaremos a esta AEPD cuando se presenten en los Juzgados de Madrid. Es Partec la encargada de recabar el correspondiente consentimiento del afectado al tratamiento de sus datos personales. Igualmente, es responsable de acreditar l identidad de los potenciales clientes y la representación de los que firman en nombre y por cuenta del titular. Desde Galp se procede a resolver el contrato con Partec “con causa en los reiterados y graves incumplimientos contractuales cometidos por parte de Partec Representaciones S.L. Medidas adoptadas por la Compañía para evitar situaciones futuras anómalas. Realización de campaña de emisión a los clientes con reclamación de contratación indebida en agosto de 2012: se realizaron 13.000 llamadas a aquellos clientes que negaban haber contratado o discrepaban en la contratación (…). Renuncia a la facturación de los suministros de los contratos anulados. Paralización de toda actividad comercial activa de la compañía, suspendiendo la firma de nuevos contratos (…). Establecimiento de un nuevo protocolo de contratación con los clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 En cuanto a la Entidad denunciada—Partec Representaciones S.L—alega en fecha 03/06/11 que: En relación con Galp Energía, mi mandante es un mero prestador de servicios de fuerza de venta, empresa proveedora de los servicios que nos ocupan y responsable última de la gestión de dichos datos. De la relación con el comercial. Se trata de Dña B.B.B., la relación con la misma es de carácter mercantil (relación entre dos empresarios independientes). Entre las obligaciones de la comercial, se indica en la clausula Quinta de dicho documento que “El agente se obliga a actuar lealmente y de buena fe velando por los intereses de Partec Representaciones SL, por cuya cuenta actúa en el ejercicio de la actividad encomendada”. De la falta de responsabilidad de Partec en la reclamación que motiva esta actuación. No nos queda claro, ante todo, en qué medida la primera y segunda reclamación están vinculadas. Asumiendo que ambas reclamaciones están vinculadas y sin considerar el exceso de confianza en el que sin duda ha incurrido el reclamante (facilitar sin más datos de cuenta bancaria en particular), la situación que describe el reclamante es sin lugar a dudas una conducta fraudulenta, presuntamente imputable al comercial. En caso de acreditarse, dicha situación supondría la consumación de un ilícito penal, que excede de la competencia de la Autoridad a la que tengo el honor de dirigirme. A final de mayo de 2012, la Entidad Galp cambia el criterio y solicita no se recurra más a este mecanismo de contratación, pasando a admitir únicamente contratos firmados por los titulares del suministro. QUINTO: Con fecha 11/06/13 se procede a desestimar la solicitud de prueba de la Entidad—Partec—“emplazamiento del comercial B.B.B.…”, al ser considerada innecesaria a los efectos del presente procedimiento. Con fecha 19/06/13 se procede a desestimar la solicitud de prueba de la Entidad —Galp—de aportación de copia del NIE del afectado, al ser considerada innecesaria y estar dentro del marco de las “relaciones contractuales” responsable del fichero/encargado del tratamiento. SEXTO: En fecha 08/08/13 se procede a notificar en tiempo y forma la “Propuesta de Resolución” a las Entidades denunciadas, en dónde tras considerar vulnerado el contenido del art. 6.1 LOPD, se propone una sanción de 50.000€ para la Entidad Galp (responsable del fichero) y de 3.000€ para la Entidad—Partec— (encargada del tratamiento). SÉPTIMO: En fecha 04/09/13 la Entidad denunciada—Galp Energía España S.A.U— alega a la “Propuesta de Resolución” de manera sucinta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 Existencia de un presunto contrato. A la compañía les llega a través de la Empresa de fuerza de ventas, Partec Representaciones, el contrato de Gas, Electricidad, ConfortGas Básico y ConfortHogar firmado, supuestamente por el denunciante con fecha 17/02/12. El mismo engaño utilizado por los comerciales para obtener los datos del denunciante, se empleo para cumplimentar y falsificar la firma con el objeto de hacer creer a Galp que se trataba de una contratación lícita. La Compañía dispone de un contrato firmado, supuestamente por el cliente, que no ofrecía duda alguna sobre el consentimiento prestado. Por tanto, el contrato reunía todos los requisitos para presumir que era un contrato legalmente formalizado. Cancelación de la deuda y datos personales. La compañía en todo momento ha tratado los datos garantizando los derechos del cliente, garantizando su derecho a la revocabilidad de consentimiento otorgado, dando en su caso de baja el servicio de Gas y de electricidad a demanda del cliente cuando recibe la petición de cambio de la comercializadora. Actualmente no existe activo ningún contrato a nombre de D. A.A.A., todas las facturas han sido anuladas y la deuda pendiente de 219,71€ ha sido condonada por los perjuicios que se le hayan podido ocasionar al denunciante. La compañía ya envió por burofax el día 28 de junio de 2013 informándole de la cancelación de la deuda y el bloqueo de sus datos personales. Desproporción de la sanción impuesta. Esta Agencia propone una sanción de 50.000€ para la compañía, debido a la falta de consentimiento del titular de los datos y tomando en consideración los criterios de graduación de las sanciones establecidos en el art. 45.4 LOPD. Solicita la aplicación del art. 45.5
  2. a)LOPD en base a que actualmente no existe ningún contrato en activo a nombre del denunciante, referente a los beneficios obtenidos, que no ha existido ninguno al haberse anulado las facturas, al no existir intencionalidad y a que se han anulado todas las facturas. Finalmente, hace alusión a la diferencia entre la sanción impuesta a la Entidad Galp y la propuesta para Partec. OCTAVO: En fecha 13/09/13 se procedió a notificar en legal forma “Propuesta de Resolución” a la Entidad denunciada—Partec Representaciones S.L—la cual formuló alegaciones en tiempo y forma, en fecha 26/09/13 manifestando de manera sucinta que: Primero. Falta de intervención del comercial en el procedimiento. Resulta paradójico que la AEPD no considere útil el emplazamiento del comercial como parte del procedimiento. Atendiendo a lo anterior la comercial está dotada de plena autonomía para el desarrollo de sus funciones, lo que supone asumir la responsabilidad por las mismas con independencia de las que puedan corresponder a Partec…sino que se requirió a la AEPD para que diera traslado del procedimiento a la comercial como parte interesada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 Apuntamos en definitiva, que puede haber una explicación razonable o varias para la recogida de datos en la forma en que lo ha sido y, por tanto, no puede ser tomado como indicio de nada, máxime cuando no ha sido posible que la comercial exponga en el procedimiento su versión de lo sucedido. La no participación de la comercial supone, en definitiva un defecto procedimental que invalida las actuaciones que motivan esta reclamación, viciándola de nulidad absoluta, en los términos del art. 62.1 Ley 30/92… Segundo. Participación de Unisono en el proceso de contratación que nos ocupa. Galp facilitaba material comercial y contratos en blanco. A lo largo de la relación empresarial, además de enviar correos electrónicos con Instrucciones, estableciendo las pautas a seguir en cuanto al procesamiento de datos…A finales de enero de 2012, Galp comunica que cambia las condiciones de prestación de servicio de Partec y de algunas otras empresas de comercialización, notificando que a partir de ese momento, las gestiones de back office serían realizadas por la mercantil Unisono. “Que no puede negarse que Partec haya actuado con la diligencia debida en el seguimiento del proceso de contratación, en atención a las responsabilidades que tenía asignadas”. Quinto. Falta de aportación de la copia del DNI del reclamante como parte del proceso. En el momento en que el contrato del reclamante se gestionó, no era necesario, a efectos del proceso de contratación, solicitar copia del documento de identidad del nuevo cliente. Desconocemos si ello se debe a que la validación se realizaba con posterioridad, mediante la grabación de la llamada de teléfono de comprobación o por qué motivo. Sexto. De la necesaria revisión de la sanción. Consideramos que la multa que se propone debe moderarse hasta la aplicación de un apercibimiento. Ello debido a que la actividad de Partec está muy condicionada a la actividad de otros sujetos como parte del proceso de alta de contratos de suministros para Galp Energía, siendo Partec un mero ejecutor de ciertas actividades con relevancia limitada a nivel de los datos personales gestionados. Partec no ha sido sancionado por ninguna infracción en materia de protección de datos en el pasado. El contrato en cuestión a día de hoy ha sido dado de baja, sin que a la reclamante se le haya obligado abonar ninguna cantidad. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 Primero. En fecha 09/07/12 se recibe en esta AEPD reclamación del denunciante en dónde manifiesta que “se presentaron en mi domicilio particular, dos comerciales que decían pertenecer a Gas Natural. Tras una breve exposición me convence para que le muestre una factura de mi suministro de energía para ver si tengo bien las facturas (…). Una vez entregadas dichas facturas, uno de los comerciales empieza a anotar algunos datos, sin ningún tipo de consentimiento. El NIE lo pasaron por un aparato creo que era algo para fotocopiar. …cual es mi sorpresa, cuando sin mi consentimiento y abusando de mi buen voluntad y que no entiendo todo en español, recibo en casa un periodo de facturación a cargo de la Empresa de Gas Natural…”--folio nº1 y 2--. En apoyo de su pretensión aporta copia de una factura emitida por la Entidad denunciada—Gas Natural Fenosa—con los datos de carácter personal del afectado por importe total de 93,03€--folio nº3--. Item, aporta copia del “contrato de suministro dual y servicios” de la entidad denunciada—Gas Natural--, que le dejaron en su domicilio sin rellenar en ninguno de sus campos. –folio nº 5--. Segundo. La Entidad denunciada—Galp-- aporta copia de contrato de gas, electricidad, confortgas básico y conforthogar, presuntamente suscrito por el afectado.— folio nº 20 y 21--. De una mera comprobación entre las firmas aportadas por el denunciante y la que constan en el contrato suscrito “presuntamente” por el afectado, las mismas prima facie no coinciden, ni tan siquiera son similares. No se aporta copia del D.N.I del afectado o documento de naturaleza similar en sus alegaciones. La fecha de dicho contrato es 17/02/12 y en los campos suscritos aparecen las siglas P.O (Por Orden). Tercero. En los sistemas de información de la Entidad denunciada—Galp— constan los siguientes datos de carácter personal del afectado asociados a los siguientes servicios:  Contrato de suministro de gas entre las fechas 01/04/12 y 21/05/12.  Contrato servicio de mantenimiento ConfortGas Básico con fecha alta 29/03/12 y cese fijado para el 28/03/13.  El alta en el servicio de electricidad se realizó 16/04/12 y la baja el 27706/12.  El alta en el servicio Conforthogar se realizó el 29/03712, con cese fijado para el 28/03713. En los ficheros de la entidad denunciada consta que el denunciante mantiene una deuda pendiente por importe de 219,71€. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 Cuarto. Constan emitidas las siguientes facturas por parte de la Entidad denunciada—Galp—con los datos personales del afectado: D. A.A.A..            Nº Factura: ***FACTURA.1. Fecha emisión: 31/03/12. Importe: 11,04€. (folio nº 41). Nº Factura: ***FACTURA.2. Fecha emisión: 20/04/12. Importe: 5,06€. (folio nº 42 y 43) Nº Factura: ***FACTURA.3. Fecha emisión: 22/05/12. Importe. 28,41€. (folios nº 44 y 45). Nº Factura: ***FACTURA.4. Fecha emisión: 28/06/12. Importe: 43,04€. (folio nº 46) Nº Factura: ***FACTURA.5. Fecha emisión: 30/06/12. Importe: 10,01€. (folio nº 47). Nº Factura: ***FACTURA.6. Fecha emisión: 03/07/12. Importe: 68,72€. (folio nº 48 y 49) Nº Factura: ***FACTURA.7. Fecha emisión: 31/07/12. Importe: 10,01€. (folio nº 50). Nº Factura: ***FACTURA.8. Fecha emisión: 15/08/12. Importe: 3,34€. (folio nº 51 y 52). Factura Nº: ***FACTURA.9. Fecha emisión: 31/08/12. Importe: 10,01€. (folio nº 53). Nº Factura: ***FACTURA.10. Fecha emisión: 30/09/12 Importe: 10,26€. (folio n 54). Nº Factura: ***FACTURA.11. Fecha emisión: 30/11/12 Importe: 10,26€. (folio nº 55). Quinto. Constan acreditados los siguientes contactos entre el denunciante y la Entidad denunciada—Galp--. A saber: “Desde la OMIC del Ayto de Torrejón recibimos escrito de reclamación en fecha 24/05/12”. Cliente indica que un comercial le dio alta sin su consentimiento y niega haber firmado nada tanto de suministros como de servicio de mantenimientos —folio nº 32--. “Cliente reclama que un comercial le dio alta sin su consentimiento y niega haber firmado nada tanto de suministros como de servicios de mantenimiento. Alta fraudulenta.” 28/06/12 –folio nº 37--. “Cliente solicita que le envíen las copias de los contratos activos actualmente con Galp Energia, a su domicilio, teléfono de contacto de titular… no entiende cómo es posible que le hayan activado contratos que no ha firmado. Gracias” 02/07/12.—folio nº 36--. “Cliente solicita que se le de la baja de todos los servicios, ya que él no ha contratado con nosotros” 01/10/12.—folio nº 38--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 Sexto. La Entidad encargada de la formalización del contrato es la Entidad— Partec Representaciones S.L— el cual encarga a su vez la realización del mismo a la comercial Doña B.B.B. (folio nº 85) siendo la relación entre ambos de carácter mercantil. La Entidad Partec no dispone de copia del DNI o documento de naturaleza similar del titular de los datos de carácter personal y asevera “es sin lugar a dudas una conducta fraudulenta, presuntamente imputable a la comercial” (folio nº 87). FUNDAMENTOS DE DERECHO I Antes de entrar en el fondo del asunto que nos ocupa, hemos de realizar una serie de puntualizaciones a tenor de las alegaciones formuladas por el representante legal de la Entidad denunciada—Partec--. Por parte de esta Agencia se procede a raíz de denuncia presentada por D. A.A.A. a examinar ex oficio la “presunta” infracción de la Legislación vigente en materia de protección de datos, en concreto si se ha producido una utilización y tratamiento de sus datos personales, sin su “consentimiento inequívoco” (art. 6.1 LOPD). En el contrato firmado entre la Entidad denunciada—Partec—y la Entidad denunciada—Galp—constan plasmadas y ratificadas las siguientes clausulas contractuales, asumidas desde el mismo momento del perfeccionamiento de la relación contractual entre ambos. Así queda rubricado lo siguiente: “El Proveedor (Partec) deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo, y en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente en materia de protección de datos de carácter personal y sobre protección de los consumidores y usuarios”. “El Proveedor realizará el tratamiento necesario para la prestación de los servicios conforme a las obligaciones que se derivan de la LOPD, entre otras, las obligaciones de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al Proveedor”. “Las obligaciones establecidas para el Proveedor en la presente clausula serán también exigibles a sus empleados, colaboradores, tanto externos como internos y subcontratistas…”. Como derecho del presunto responsable se contempla el de utilizar todos los medios de defensa admitidos por el Ordenamiento jurídico que resulten procedentes, estando inalterado su derecho a la presunción de inocencia administrativa, mientras no se demuestre lo contrario. Manifestado lo anterior, no se aporta en fase de instrucción (ex art. 78 Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 30/92), documento alguno admisible en derecho frente al “comercial” reseñado en los Hechos (vgr. denuncia antes la Fuerzas y Cuerpos de Seguridad del Estado o simple “querella” ante el Juzgado de Instrucción correspondiente). A mayor abundamiento, la Entidad denunciada—Partec—responde en el presente procedimiento del cumplimiento o incumplimiento de la normativa vigente en materia de protección de datos, con independencia de la responsabilidad/es de los restantes intervinientes en el proceso de contratación y alta de servicios (gas y luz); cada uno en la medida que legalmente le corresponda. En el referido proceso de contratación, la Entidad denunciada --Partec—asumió la obligación, firmada por escrito (contrato fecha de “obtención del consentimiento del afectado” debiendo por tanto, acreditar fehacientemente que contaba con el mismo (vgr. aportación del contrato firmado voluntariamente por el titular y aportación de una documentación mínima que acreditara tal extremo (vgr. fotocopia de DNI, pasaporte o documento de naturaleza similar, etc). Nada de lo expuesto, ha sido realizado por la Entidad denunciad—Partec--, por lo que en modo alguno se ha producido una lesión a su derecho fundamental a la defensa—ex art. 24.2 CE—desde un punto de vista material; máxime cuando teniendo una responsabilidad con el “comercial” contratado: no ha realizado conducta alguna en el marco de la normativa vigente en materia de protección de datos. Por todo lo expuesto, se ha de concretar que al margen de denegar “motivadamente” la solicitud de declaración del comercial interveniente; pues en nada afectaba a su ámbito de responsabilidad como “encargado del tratamiento”; su derecho a la defensa se ha visto en todo momento atendido durante la instrucción del presente procedimiento; por lo que se ha de desestimar cualquier pretensión de nulidad de las actuaciones—ex art. 62.1 Ley 30/92--. No obstante lo anterior, pretende argumentar un “grado” de responsabilidad de una tercera Empresa—Unísono Soluciones de Negocio, S.A--. Esta empresa contratada por la Entidad denunciada—Galp— (responsable del fichero) estaba encargada desde finales de enero del año 2012 de las gestiones de back office (verificaciones y altas de los contratos en el sistema SAP de Galp); pero sin que ello supusiera modificación alguna en los términos contractuales entre: Galp y la Entidad denunciada—Partec—que era la responsable de que los “comerciales” contratados presentaran la documentación requerida sobre el consentimiento inequívoco de los afectados, conforme a la normativa vigente en materia de protección de datos. Conviene recordar el contenido del art. 6 del Código Civil “La ignorancia de las Leyes no exime de su cumplimiento”; dado que las obligaciones de la Entidad –Partec-no se limitaban, como pretende argumentar a unas: simples reuniones con los comerciales y organización de la documentación recogida, sino a constatar que se contaba “con el consentimiento inequívoco de los titulares de los datos”. Por tanto, la remisión de la documentación recabada en el domicilio/s de los titulares de los datos, debía ser conforme a la normativa vigente en materia de protección de datos: contrato debidamente cumplimentado y adjuntando copia del DNI o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 documento de naturaleza equivalente, esto es, que acreditara que contaba con el consentimiento inequívoco del titular; todo ello con independencia de la función de la Entidad mercantil --Unisono—que verificaba partiendo de la documentación aportada el alta en el sistema del responsable del fichero (Galp); siendo devueltos los que no cumplían con las “instrucciones” o “criterios” establecidos para la grabación de los contratos. II Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. III El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. IV En el presente caso, se procede a examinar la reclamación de fecha de entrada en esta AEPD 09/07/12 en dónde el epigrafiado manifiesta que: “que se presentaron en mi domicilio particular dos comerciales que decían pertenecer a Gas Natural. Al final me pide el nº de la cuenta corriente…me contesta que para comprobar que todo está bien. Cuál es mi sorpresa cuando sin mi consentimiento y abusando de mi confianza y que no entiendo todo en español, recibo en casa un periodo de facturación a cargo de la Empresa de Gas natural…”—folios nº 1 y 2--. En los sistemas de información de la Entidad denunciada—Galp Energía— consta un “presunto” contrato firmado por el denunciante, con fecha de firma 17/02/12, dónde consta el titular de la cuenta bancaria: A.A.A. y el código de la cuenta bancaria. En fase de instrucción—ex art. 78 Ley 30/92—se procede a cotejar las firmas existentes en el contrato y la aportada por el denunciante, tanto en su reclamación ante la AEPD, como la que consta en su pasaporte y se constata que las mismas no coinciden, sin ninguna duda al respecto. Por parte de la Entidad—Galp—no se dispone de copia o fotocopia del DNI o documento de naturaleza similar del titular de los datos, que valide la contratación, ni se ha realizado ninguna actividad de comprobación el respecto. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la que más C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 correctamente se acomoda a lo dispuesto no solo en el citado art. 6.1 de la LOPD, sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. Item, la SAN 01-04-11 que analiza un caso similar al que nos ocupa: “El hecho de la documentación en que se basa Endesa para tratar los datos de la denunciante, se la proporcionara Combray Solutions S.L. resulta irrelevante. Efectivamente, la responsabilidad en que hipotéticamente hubiera podido incurrir Combray Solutions S.L., (que no nos corresponde aquí enjuiciar), no exime a la hoy demandante del cumplimiento de la normativa en materia de protección de datos de carácter personal, pues es ella con quien se contrata, quien incorpora los datos a sus ficheros y la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente es la titular de los datos personales en cuestión”. En los casos como el que nos ocupa, en que el denunciante niega haber prestado el consentimiento para el tratamiento de sus datos de carácter personal viene reiterando la Audiencia Nacional, ya en las Sentencias de esta Sección, de 25 de octubre de 2002 (recurso nº. 185/2001), 30 de junio 2004 (recurso nº. 619/2002 ) que la concurrencia del consentimiento inequívoco del afectado que exige el art. 6.1 para el tratamiento de datos de carácter personal por parte de un tercero, en el caso de que dicho interesado niegue haberlo otorgado, se ha de acreditar por quien realiza el tratamiento a través de los medios previstos legalmente a tal fin. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la que más correctamente se acomoda a lo dispuesto no solo en el citado art. 6.1 de la LOPD, sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Dicho principio conlleva la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, el consentimiento permite así al afectado ejercer el control sobre sus datos de carácter personal (la autodeterminación informativa), ya que es el propio interesado quien tiene que otorgar su consentimiento para que se pueda realizar el tratamiento de los citados datos. Por consiguiente, en el presente caso, queda acreditada la infracción del art. 44.3
  4. b)LOPD por parte de la Entidad denunciada—Galp Energía S.A.U--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 V En el presente supuesto de hecho, se procede, igualmente, a la apertura de procedimiento sancionador a la Entidad –PARTEC--, por presunta vulneración del principio del consentimiento consagrado en el art. 6.1 LOPD. La Entidad-PARTEC—formalizó un contrato con la Entidad Galp Energía que tenía por objeto: “Es objeto del presente Acuerdo regular los términos y condiciones que van a regir en la prestación por parte del PROVEEDOR de los servicios de promoción comercial y fuerza de ventas de los productos y servicios ofrecidos por Galp Energia (en adelante los “Servcios”). Esta figura se enmarca dentro de la modalidad de contrato de comisión mercantil regulada con carácter general en el art. 244 y ss del Código de Comercio. “Se reputará comisión mercantil el mandato, cuando tenga por objeto un acto u operación de comercio y sea comerciante o agente mediador del comercio el comitente o el comisionista”. Dentro del marco de la Legislación vigente en materia de protección de datos, conviene acotar dos aspectos: Primero, la Entidad—PARTEC- ostenta la condición de encargado del tratamiento—art. 3
  5. g)LOPD—que dispone: “Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. Segundo. Consentimiento. El art. 3
  6. h)de la LOPD—LO 15/1999—dispone que: “Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía--. A saber: “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. --. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado” La Entidad—Partec—alega en fecha 03/06/13 que: “mi mandante es un prestador de servicios de fuerzas de ventas de Galp Energía España S.A.U, empresa proveedora de los servicios que nos ocupan y responsable última de la gestión de dichos datos”. “Nuestra labor, por lo tanto, se realiza estrictamente bajo la responsabilidad de Galp y según sus instrucciones, asumiendo Partec la condición de encargada del tratamiento (…)”. “La relación que vincula a Partec con el “comercial” es de carácter mercantil (relación entre dos empresarios independientes, según se acredita con la copia del contrato suscrito y en cuya estipulación segunda se indica que “El agente se obliga frente a la Empresa a promover y concluir las operaciones especificadas por la empresa, por cuenta ajena”. La presunción de inocencia recogida en el art. 24.2 CE y 137.1 Ley 30/92, 26 de noviembre, y que la doctrina del Tribunal Constitucional ha considerado aplicable al derecho administrativo sancionador (SSTC 13/1981, 76/1990) implica que la carga de la prueba de los hechos constitutivos de la infracción recaiga sobre la Administración – SSTC 76/1990, 120/1994, 154/1994, 23/1995, 97/1995 y 45/19997—. En el presente caso, la Entidad PARTEC no aporta ningún medio de prueba admisible en derecho—ex art. 80 Ley 30/92—que permita desvirtuar que contaba con el consentimiento inequívoco del denunciante a la hora de darle de alta en los servicios de suministro de gas natural, electricidad y servicios ofertado por la Entidad—Galp Energía--. En este sentido, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2011 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia Española de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D…(nombre, apellidos, domicilio), y a la recurrente le incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir,…debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales , o justificar que en el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por tanto, la vulneración del art. 6.1 LOPD por parte de PARTEC se deriva de la falta de consentimiento del denunciante para tratar los datos personales y no acreditar la existencia de consentimiento voluntario e inequívoco a la hora de cambiar de Entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 suministradora de gas, electricidad y servicio de mantenimiento. Cabe recordar, en este sentido, que el titular de los datos es el que tiene el poder de disposición de los mismos—principio del consentimiento—y, asimismo, en esta materia debe operar el derecho a la información en el momento de la recogida de sus datos, siendo también responsable en este caso la Entidad --PARTEC—encargada del tratamiento—de informar al afectado/s a qué usos van a ser sometidos los mismos. Por todo lo expuesto, se considera que la Entidad denunciada— PARTEC- ha incurrido en la infracción descrita, ya que ha vulnerado el citado principio, consagrado en el artículo 6.1 de la LOPD, por tratar los datos de la afectada sin su consentimiento, que encuentran su tipificación en el artículo 44.3b) de la citada Ley Orgánica. VI Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). VII El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “...no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar las operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de dato (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). En el presente caso, la Entidad denunciada—Galp—procedió al alta de varios servicios (Gas, electricidad, Confortgas básico y Conforthogar) sin contar con el consentimiento inequívoco del titular de los datos. A mayor abundamiento, no dispone en sus sistemas copia/fotocopia del DNI o NIE del afectado, ni acredita haber realizado actividad alguna de verificación de la identidad del titular de los datos. Contrariamente a lo argumentado por la representación legal de la Entidad denunciada—Galp--, tras efectuarse comprobaciones por el servicio de Inspección de la Subdirección General de Inspección de la AEPD (vgr. Acta de Inspección E/06149/2012) se constata: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23  El sistema informático de Galp no permite detectar contratos fraudulentos, ssí como, tampoco un campo que permita identificar datos bloqueados o cancelados.  Galp ha contratado los servicios de dos Entidades externas para resolver las reclamaciones presentadas por sus clientes, pero no se ha firmado ningún contrato por escrito con las mismas.  No se han dirigido a los clientes para informarles detalladamente de las medidas adoptadas (vgr, carta disculpa, condonación de la deuda, etc). Tras la formulación de “Propuesta de Resolución” por parte de la representación legal de la Entidad—Galp—se aporta copia de carta de disculpas y cancelación de la deuda del afectado de fecha 27/08/13. La infracción apreciada consiste en tratar los datos de carácter personal con vulneración del principio del consentimiento consagrado en el artículo 6 de la LOPD, que dispone "1.-El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". Dicha infracción se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, apreciándose en el supuesto de autos una falta de diligencia en la actuación de Galp Energía al no haber realizado las verificaciones oportunas para constatar si la denunciante había prestado realmente su consentimiento para darle de alta en el servicio y tratar en definitiva sus datos personales. A la hora de motivar la sanción a imponer a la Entidad—Galp Energía—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. 45. 4
  22. c)LOPD.  El volumen de negocios o actividad del infractor. Con carácter ilustrativo, Galp obtuvo de beneficio líquido en el año 2013 unos aproximadamente359 millones de euros. 45. 4
  23. d)LOPD.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
  24. h)LOPD. Por todo ello se acuerda que se imponga a la Entidad—Galp Energía—una sanción cuya cuantía se cifra en la cantidad de 50.000€. En cuanto a la Entidad denunciada—Partec—“encargada del tratamiento” (art. 3
  25. g)LOPD) ha quedado acreditado durante la instrucción del presente procedimiento, que la misma a través de un comercial “encargado de concluir las operaciones especificadas por la empresa, por cuenta ajena” procedió a dar de alta un contrato de suministro de gas, electricidad y mantenimiento de servicios, sin contar con el consentimiento inequívoco de la misma. No cabe duda que el comercial tiene una serie de obligaciones contractuales “El agente solicitará siempre la confirmación de venta al Cliente con el fin de verificar que ha entendido perfectamente los productos/servicios contratados, así como, el coste o repercusión económica de los mismos” (folio nº95). Por tanto, nos encontramos, con una serie de relaciones contractuales: Galp-Partec C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 y,a su vez, Partec-Comercial (relación entre dos empresarios independientes) teniendo todos que cumplir fielmente con la normativa vigente en materia de protección de datos, a la hora de comprobar y constatar que se cuenta con el consentimiento inequívoco del titular de los datos. Así pues, independientemente de los términos de los contratos suscritos entre sí por las dos empresas afectadas, lo que debe concluirse es que cuando cualquier de ellas lleva a cabo el tratamiento de los datos personales debe garantizar el cumplimiento de las exigencias de consentimiento En el presente caso, el contrato no ha sido firmado por el titular de los datos, no se aporta copia del DNI o documento de naturaleza similar, no se realiza actividad de comprobación alguna, ni por la Entidad responsable del fichero—Galp--, ni por la entidad encargada del tratamiento—Partec—. Por tanto queda acreditado probado que la Entidad-Partec—ha tratado datos de carácter personal sin el consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energia. A tenor de lo expuesto, queda acreditada indubitadamente la comisión de la infracción descrita en el art. 44.3
  26. b)LOPD por parte de la Entidad—Partec Representaciones S.L--. Recuérdese que las sanciones administrativas son imputables no sólo a título de dolo o culpa sino incluso de “mera inobservancia” –art. 131 Ley 30/92 RJ-PAC—y, por tanto, la Empresa Partec Representaciones S.L, no ha podido probar la obtención del consentimiento del afectado, por lo que debe considerarse vulnerado el principio del consentimiento regulado en el art. 6.1 LOPD. El art. 45.5 LOPD establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos (…)”. En concreto, se tiene en cuenta la aplicación del art. 45.5 letra
  27. a)de la LOPD “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer a la Entidad—Partec—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal.  El volumen de negocios o actividad del infractor.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. Por todo ello se acuerda que se imponga a la Entidad—Partec—una sanción cuya cuantía se cifra en la cantidad de 3.000€. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GALP ENERGIA ESPAÑA, S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
  28. b)de dicha norma, una multa de 50.000€ (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad PARTEC REPRESENTACIONES S.L por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
  29. b)dicha norma, una multa de 3.000€ (tres mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a las Entidades-- GALP ENERGIA ESPAÑA, S.A.--., y --PARTEC REPRESENTACIONES S.L-- y a Don A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.