PS-00297-2014

1/16 Procedimiento Nº PS/00297/2014 RESOLUCIÓN: R/01754/2014 En el procedimiento sancionador PS/00297/2014, instruido por la Agencia Española de Protección de Datos a la entidad GALP Energía España SAU, vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/05/13 se recibe en esta AEPD escrito de D. A.A.A. (en lo sucesivo el denunciante) frente a la Entidad GALP Energía España SAU (en lo sucesivo el/la denunciado/

1. a)en el que de manera sucinta pone de manifiesto lo siguiente: GALP, formalizó sin su consentimiento contratos a su nombre de suministro de electricidad y gas. Los recibos que se pasaron en relación con esos contratos fueron devueltos por el banco al no coincidir con el titular de la cuenta. Junto con el escrito de denuncia el denunciante aporta copia de la siguiente documentación:
2. a)Contrato a nombre del denunciante firmado el 15 de noviembre de 2011 con GALP. En la firma consta el nombre de “B.B.B.”.
3. b)Reclamación presentada por el denunciante presentada el 13 de febrero de 2013 ante la Oficina Municipal de Información al Consumidor, en adelante OMIC, del distrito de Ciudad Lineal en Madrid. Los hechos descritos son idénticos a los manifestados en el escrito de denuncia. Al no obtener respuesta de GALP, el denunciante solicitó el traslado de la reclamación a la Dirección General de Industria, Energía y Minas de la Comunidad de Madrid el 6 de mayo de 2013.
4. c)Requerimiento de pago remitido el 1 de abril de 2013 por COLLECTA SERVICIOS DE GESTION DE COBROS SA, en nombre de GALP. En el requerimiento se solicita que el ingreso por el importe pendiente de pago se haga a nombre de MADRILEÑA SUMINISTRO DE GAS, S.L., en adelante MADRILEÑA.
5. d)Facturas emitidas por GALP el 23 de febrero y el 24 de marzo de 2012 en relación con el consumo de gas y electricidad
6. e)Cuatro requerimientos de pago remitidos por GALP entre el 2 de julio y el 20 de diciembre de 2012 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GALP Energía España SAU, teniendo conocimiento de que: 1. El 27 de agosto de 2013 se solicita información a MADRILEÑA en relación con los hechos denunciados. La entidad responde mediante escrito de 6 de septiembre de 12013 en el que manifiesta que nos constan en sus ficheros datos del denunciante por lo que no pueden proporcionar ninguna información al respecto. 2. El 4 de marzo de 2014 se solicita información a GALP en relación con los hechos denunciados. La entidad responde mediante escrito de 12 de marzo de 2014 en el que manifiesta lo siguiente: 2.1. El contrato de suministro de electricidad y gas, del que aportan copia, fue firmado por la mujer del denunciante P.O. (por orden del denunciante). El contrato está firmado el 15 de noviembre de 2011. La contratación se realizó a través de PARTEC REPRESENTACIONES, S.L. En los sistemas de la entidad constan tres servicios dados de alta:  Un servicio de gas con fecha de alta el 10/01/2012 y baja el 14/05/2013  Un servicio de gas con fecha de alta el 13/02/2012 y baja el 21/03/2012 por cambio de comercializadora.  Un servicio de electricidad con fecha de alta el 09/07/2012 y baja el 20/02/2013 por cambio de comercializadora. En base a lo observado en el contrato, los servicios de gas corresponden al suministro por un lado y al mantenimiento denominado “CONFORTGAS Básico”, mientras que el de electricidad es de suministro. 2.2. Se emitieron facturas entre el 24 de marzo de 2012 y el 23 de febrero de 2013, que constan como anuladas y cuatro facturas rectificativas de fecha 13 de mayo de 2013. Aportan copia de las facturas emitidas. Actualmente no consta deuda a nombre del denunciante. 2.3. La contratación se realizó a través de PARTEC REPRESENTACIONES, S.L. 2.4. En cuanto a los contactos mantenidos con el cliente registrados en sus sistemas aportan una transcripción de los mismos cuyos principales hitos se resumen a continuación: 2.4.1.Recepción del contrato el 10 de enero de 2012 2.4.2.El denunciante llama para informar de que le siguen reclamando una factura de 24 de marzo de 2012 que abono el 20 de abril de 2012. 2.4.3.El 29 de junio de 2012 consta una solicitud de baja dl contrato pero se le indica que le continuarán facturando hasta enero de 2013, algo con lo que no está de acuerdo el denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 2.4.4.El 7 de febrero de 2013 se modifican los datos bancarios del Centro de Gas de Torrejón de Ardoz y se recibe una reclamación en la que el denunciante informa de que el comercial hizo firmar a su mujer en su nombre y que incluyó fraudulentamente el suministro de gas cuando él sólo quería cambiar el de electricidad. 2.4.5.Consta la recepción el 22 de abril de 2013 de la reclamación presentada ante la OMIC de Madrid. Como consecuencia del análisis de la reclamación, se procede a la baja del servicio denominado “CONFORTGAS Básico” el 14 de mayo de 2013 pero figura deuda por consumo a nombre del denunciante por importe de 295,27 euros. 2.4.6.Consta na nueva reclamación presentada por la OMIC de Madrid el 31de mayo de 2013 a la que se responde indicando que el denunciante mantiene deuda por consumo de energía por importe de 295,27 euros. 2.4.7.Una nueva reclamación presentada por el denunciante el 3 de septiembre de 2013 provoca que, al observar GALP que la firma no es la del titular del contrato, se anule la deuda pendiente el 21 de septiembre de 2013. TERCERO: Con fecha 22 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la Entidad--Galp Energía España SAU--, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (*en lo sucesivo LOPD), tipificadas como infracción grave en el artículo 44.3
7. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad denunciada--Galp Energía España SAU--mediante escrito de fecha 13/06/14 formuló alegaciones, significando de manera sucinta lo siguiente: Primero. Tratamiento de los datos del denunciante. La incorporación de los datos del denunciante en la compañía se produjo, como consecuencia de la aportación del contrato de suministro de gas y servicios de mantenimiento (…) en el que se encontraban los datos del denunciante, proporcionado por la Entidad Partec Representaciones S.L. Segundo. Circunstancias de la contratación. Si bien es cierto que no se exigía la recogida de la copia del DNI, era condición indispensable que los comerciales verificaran la identidad del firmante mediante la exhibición de su DNI. Galp no podía suponer que Partec, incumpliría de manera sistemática sus obligaciones contractuales y, en especial, que contrataría comerciales mediante su captación en la calle y sin recibir ningún tipo de formación, según se indica en el Acuerdo de inicio del procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 Tercero. Incidencias de la contratación. El contenido de la denuncia interpuesta ante la AEPD no coincide con las reclamaciones que el cliente hace a través del Call Center de Galp. En efecto, las primeras reclamaciones se hacen en el sentido de reconocer la voluntad de contratar el suministro de luz con Galp pero no así el suministro de gas y servicios Confortgas. De estos hechos se desprende, en relación a la presunta infracción del art. 6.1 LOPD imputada a Galp, que la compañía trató los datos personales del denunciante en la convicción de que el contrato era válido. El hecho de que el comercial marcara la contratación de suministro de gas y servicio confortgas quedaría fuera del ámbito de aplicación de la normativa en materia de protección de datos. Cuarto. Cancelación de la deuda y de los datos personales del denunciante. La Compañía no sólo ha procedido a dar de baja los datos del denunciante, sino que ha procedido a cancelar sus datos personales transmitidos a la base de datos de la Compañía y a la anulación de cualquier posible deuda que mantuviera con la misma, como así se le comunicó mediante burofax de fecha 28 junio del año 2013 (…). Quinto. Reconocimiento voluntario de la responsabilidad. La compañía mantiene que la contratación presuntamente fraudulenta habría sido llevada a cabo por Partec, como encargado del tratamiento, respecto de lo cual, Galp defenderá sus intereses en las instancias jurisdiccionales competentes. Galp se aviene a reconocer el tratamiento inconsentido de los datos del denunciante del presente procedimiento. QUINTO: Con fecha 23/06/14 se inició el período de práctica de pruebas, en el que se acuerda tener por presentada la denuncia del afectado y toda la documentación anexa; se admiten a trámite las alegaciones de la Entidad denunciada-Galp—y la documentación presentada, asimismo, se procede a incorpora el contrato firmado entre la Entidad-Galp—responsable del fichero y Partec—encargada del tratamiento—de fecha 15/02/12 a los efectos legales oportunos. SEXTO: Con fecha 24/06/14 se procede a notificar a la Entidad denunciada—Galp— propuesta de Resolución sancionadora por la que se estima en Derecho proponer una sanción cifrada en la cuantía de 10.000€ por la infracción acreditada del art. 6.1 LOPD. SÉPTIMO: En fecha 16/07/14 se recibe en esta AEPD escrito de alegaciones de la Entidad—Galp— a la “propuesta” de Resolución sancionadora en dónde pone de manifiesto lo siguiente: Desea poner de manifiesto que también se podrían tomar en consideración otros criterios y circunstancias para graduar su sanción y aplicar así el art. 45.5
8. a)al concurrir varios de los criterios enunciados: Los datos fueron tratados en un primer momento en la convicción de la validez del contrato y posteriormente para atender a las reclamaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 Ausencia de intencionalidad por parte de Galp en que las acciones comerciales se realizasen incorrectamente por parte de la Entidad Partec Representaciones S.L. El denunciante no ha sufrido ningún perjuicio económico (art. 45.4
9. h)LOPD), por lo que el perjuicio económico lo sufre la propia compañía. Por todo ello solicito que se tenga por presentado el presente escrito y se estimen las manifestaciones vertidas y se tengan en cuenta a la hora de modular la sanción y se dicte Resolución por la que se establezca la reducción en la cuantía de la sanción propuesta. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. En fecha 27/05/13 se recibe en esta AEPD reclamación del afectado en dónde pone de manifiesto lo siguiente en orden a su adecuación a la LOPD. “Sin autorización del titular un comercial de Galp Energía formalizó los contratos de luz y gas .…siendo el contrato ilegal y una estafa”—folio nº 1--. En apoyo de su pretensión aporta reclamación ante la OMIC de fecha 13/02/13, “por contratación de gas y luz sin autorización del titular del contrato”. Segundo. Queda acreditado que en los sistemas de información de la Entidad denunciada—Galp-- existe un documento contractual de fecha 15/11/11—noviembre 2011-- que está firmado de la siguiente manera: P.O B.B.B., manifestando la entidad denunciada que es la mujer del afectado. No se aporta copia del DNI o documento de naturaleza similar, ni del afectado, ni de la mujer de éste. Tampoco consta aportado ningún poder de representación junto con la copia del contrato—folios nº 32,33 y 34--. Tercero. La Entidad denunciada—Galp—ha procedido a tratar los datos del afectado mediante la emisión de facturas vinculados a la facturación de los servicios/s prestados.—folios nº 56 a 81--. Cuarto. Queda acreditado de la documentación aportada por la Entidad denunciada—Galp—que:  Alta servicio Gas 13/02/12 y la baja 21/03/12.  Alta servicio electricidad 09/07/12 y la baja 20/02/13.  Alta servicios de gas 10/01/12 y la baja el 14/05/2013.—folio nº 29--. Quinto. Queda acreditado que en los sistemas de información de la Entidad denunciada—Galp—consta la reclamación del afectado manifestando presunta estafa comercial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 “Cliente se siente engañado, timado, por un comercial de Galp Energía llamado C.C.C., el cual fue quién engaño al cliente, debido a que hizo firmar a su mujer, y no al titular de la póliza de gas y, además puso una cuenta corriente incorrecta que no le pertenecía al titular y por este motivo se han estado devolviendo las facturas, se pide que le den una explicación al afectado devolviendo las facturas (…)” Fecha 07/02/13— folio nº 84--. “Hablamos con el cliente y nos dice que va a ir a poner una reclamación contra nosotros y que después de saber el resultado decidirá si paga o no” Fecha 08/02/13— folio nº 84--. Sexto. Queda acreditado que la Entidad encargada de la formalización del contrato fue-Partec Representaciones S.L--, la cual a su vez actuó por medio de “comercial” bajo su supervisión-folio nº 109--. Esta Entidad no está en disposición de aportar documento/s que acredite que contaba con el consentimiento del titular de los datos, ni realizó actividad de verificación alguna tendente a constatar el alta/s consentida e informada de los servicios supuestamente contratados. Séptimo. En el contrato firmado en fecha 15/02/12 por D. D.D.D. en nombre y representación de la Entidad Partec Representaciones S.L se asumen las siguientes obligaciones: “Es objeto del presente Acuerdo regular los términos y condiciones que van a regir en la prestación por parte del PROVEEDOR de los servicios de promoción comercial y fuerza de ventas de los productos y servicios ofrecidos por Galp Energía (“en adelante los “servicios”).—. “Deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo y, en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente sobre protección de Datos de carácter personal y sobre protección de los consumidores y usuarios”—. “Se compromete a cumplir y hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp (…)—. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras, la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”.—. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
10. g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso, se procede a examinar la reclamación de fecha de entrada en esta AEPD--27/05/13-- en dónde el afectado pone de manifiesto lo siguiente en orden a su adecuación a la LOPD. “Sin autorización del titular un comercial de Galp Energía formalizó los contratos de luz y gas .…siendo el contrato ilegal y una estafa”—folio nº 1--. La Entidad denunciada—Galp—en fecha 18/03/14 aporta copia del contrato firmado por la mujer del afectado P.O de fecha 15/11/11 que según sus alegaciones legitima el tratamiento de los datos de carácter personal del afectado. En fase de instrucción se procede a examinar el mismo—ex art. 78 Ley 3/92— estando en blanco los campos relativos a “Actúa en su nombre y representación” “Nombre” “Apellidos”; no aportando copia del DNI o documento de naturaleza similar del titular de los datos, ni de la persona que lo representa. La infracción cuya comisión se atribuye a la entidad denunciada—Galp--consiste en el tratamiento de datos personales del denunciante sin su consentimiento, mediante su incorporación a sus ficheros como titular de los contratos anteriormente mencionados y la emisión de facturas por los distintos consumos de los servicios a cargo de éste. El art. 3
11. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Pero, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). En el presente caso, el afectado niega en todo momento haber dado consentimiento alguno para el alta de los servicios, que son objeto de facturación por la Entidad denunciada—Galp—“por supuestos contratos que en modo alguno he formalizado” (folio nº 1). Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la más acorde con lo dispuesto no solo en el citado art. 6.1 de la LOPD , sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Existe una consolidada Jurisprudencia de la Audiencia Nacional en casos similares al que nos ocupan: -SAN 10/06/11 “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más la firma del contrato se corresponde con la inquilina de la vivienda”. -SAN 18/03/11 “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de servicios S.A no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos y, ello sin perjuicio de la responsabilidad en que pueda haber incurrido la distribuidora Avanza respecto de la hoy recurrente”. -SAN 06/10/11 “No ha podido acreditar el cumplimiento de las exigencias mínimas impuestas por la diligencia normal en la contratación telefónica que habrían obligado a conservar y custodiar la documentación personal del cliente (DNI, pasaporte) o haber acreditado alguna actividad posterior a la contratación para verificar la realidad de esta; ni se uso la técnica de la llamada de comprobación ni se cotejó mínimamente la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 documentación remitida por la Empresa comercializadora exigiendo la entrega de una simple fotocopia del DNI”. Así las cosas, no consta que los datos de carácter personal del denunciante, materializado en la contratación de los servicios referenciados (vgr. Gas natural, electricidad, etc), se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
12. b)de la LOPD, no habiendo probado nada al respecto la parte actora, y no encontrándonos en ninguno de los supuestos contemplados en el art. 6.2 de la LOPD en los que no es preciso el consentimiento del afectado. Por consiguiente, se ha de concluir que existe culpa o falta de diligencia que se aprecia en el caso que nos ocupa, al haberse realizado el tratamiento de los datos personales del denunciante sin su consentimiento, por lo que, considera esta AEPD, que resulta acreditada la infracción atribuida a la Entidad denunciada—Galp Energía--, que procedió a dar validez a un presunto contrato no formalizado por el afectado, procediendo al tratamiento de los datos de éste sin su consentimiento expreso e informado. IV Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido. V El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
13. a)El carácter continuado de la infracción.
14. b)El volumen de los tratamientos efectuados.
15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
16. d)El volumen de negocio o actividad del infractor.
17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
18. f)El grado de intencionalidad.
19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16
22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En el presente caso, la Entidad denunciada—Galp—procedió al alta de varios servicios (Gas, Confortgas y Conforthogar) sin contar con el consentimiento inequívoco del titular de los datos. A mayor abundamiento, no dispone en sus sistemas copia/fotocopia del DNI o NIE del afectado, ni de la persona que autorizó el alta de los servicios objeto de contratación, ni acredita haber realizado actividad alguna de verificación de la identidad del titular de los datos. La infracción apreciada consiste en tratar los datos de carácter personal con vulneración del principio del consentimiento consagrado en el artículo 6 de la LOPD, que dispone "1.-El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". Dicha infracción se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, apreciándose en el supuesto de autos una falta de diligencia en la actuación de Galp Energía al no haber realizado las verificaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 oportunas para constatar si la denunciante había prestado realmente su consentimiento para darle de alta en el servicio y tratar en definitiva sus datos personales. El art. 54 de la Ley 30/92, 26 de noviembre dispone que: “Serán motivados, con sucinta referencia de hechos y fundamentos de derecho:
23. a)Los actos que limiten derechos subjetivos o intereses legítimos”. En el presente caso, ha quedado acreditado que el afectado—D. A.A.A.—no otorgo su consentimiento al cambio contractual con la compañía-Galp--. La falta de diligencia de la Entidad—Galp- (responsable del fichero) viene marcada por la falta de documentación adjunta al contrato principal (DNI del solicitante, DNI del cliente o en su defecto, aportación de al menos copia del contrato principal debidamente cumplimentado por el titular de los datos…). Por otra parte, en su escrito de alegaciones al Acuerdo de Inicio ante esta AEPD de fecha 13/06//14 la Entidad denunciada—Galp—procede a reconocer voluntariamente la responsabilidad: en el tratamiento sin consentimiento de los datos del afectado. El art. 45.5
24. d)LOPD reconoce como criterio de aplicación a la hora de graduar la sanción: “Cuando el infractor haya reconocido espontáneamente su culpabilidad” Por tal motivo, se procede a encuadrar la sanción a aplicar dentro de la escala de las infracciones leves, cuya graduación legalmente establecida se encuentra entre: 900€ hasta 40.000€. A la hora de motivar la sanción a imponer a la Entidad—Galp Energía—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. 45. 4
25. c)LOPD. Galp es una Entidad habituada al trato con los “potenciales” clientes en el suministro de gas, electricidad y otros servicios, que viene a facturar tratando los datos de carácter personal de los afectados.  El volumen de negocios o actividad del infractor. Con carácter ilustrativo, Galp obtuvo de beneficio líquido en el año 2012 unos aproximadamente 359 millones de euros y en los nueve primeros meses del año 2013 unos 218 millones de euros de beneficios. 45. 4
26. d)LOPD  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
27. h)LOPD. Como resumen, de lo expuesto, ha quedado acreditado que la Entidad denunciada—Galp-- no contaba con el “consentimiento inequívoco e informado” del afectado, el contrato no se encontraba firmado por el titular de los datos; no se procedió a realizar actividad de verificación alguna (vgr. llama de bienvenida, envió de copia del contrato para ser debidamente cumplimentado, adjuntar copia del DNI del cliente, adjuntar copia del DNI del nuevo usuario etc), el documento contractual no se haya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 debidamente formalizado en los campos relativos a la persona autorizada—como debería ser en el caso de ser firmado por la mujer del afectado-- y, finalmente, se han utilizado sus datos de carácter personal mediante la emisión de facturas por servicios no contratados en legal forma. En este caso, ha quedado acreditado que el titular de los datos no fue quién formalizó el contrato, si bien queda acreditada la intervención de la mujer de éste (folio nº 84), por tal motivo se estima procedente aplicar el art. 45.5
28. c)LOPD “…conducta del afectado ha podido inducir a la comisión de la infracción” y reducir la sanción a imponer debido a la concurrencia de dos criterios de los establecidos en el art. 45.5 LOPD. La Entidad denunciada—Galp—tiene la naturaleza jurídica de “responsable del fichero” (art. 3
29. d)LOPD), ha procedido a tratar los datos del afectado mediante la incorporación de los datos del mismo en su sistema de información y ha procedido a la emisión de facturas; se trata de una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que debe ser especialmente cuidadosa con dichos tratamientos máxime a la hora de dar de alta servicio/s contratados por terceras personas que no son el titular de los mismos (vgr. familiares de éste) aportando documentación acreditativa suficiente de contar con su consentimiento (a modo de ejemplo, copia del DNI de la persona autorizada y del autorizante; copia del contrato enviado al afectado para que pueda leer las condiciones contractuales debidamente cumplimentado o grabación al afectado contando con su consentimiento expreso, etc). El hecho de que la entidad denunciada—Galp—actuase por medio de comercializadora—Partec Representaciones S.L--no exime de responsabilidad en el cumplimiento de la normativa vigente en materia de protección de datos personales, pues esta es quien incorpora los datos personales de los clientes a sus ficheros, emite las facturas y gira los correspondientes recibos bancarios, por lo que debe asegurarse de que el titular de tales datos personales ha prestado su consentimiento inequívoco para su tratamiento con el fin señalado. Finalmente, consta en el Expediente (folios nº 83 y 84) la reclamación del afectado manifestando su disconformidad con la contratación “el cliente se siente engañado, timado…”, “el cliente nos dice que va a poner una reclamación” de fecha 07/02/13 y 08/02/13 a pesar de ello la capacidad de respuesta de la Entidad denunciada no fue diligente. No se ha vulnerado el citado principio por cuanto la “propuesta” impugnada, ha establecido la cuantía de la sanción aplicando la escala relativa a las infracciones leves, que preceden inmediatamente en gravedad a la considerada en el presente caso, como dispone el artículo 45.5 de la LOPD aplicado y ha impuesto una sanción en cuantía de 10.000€, teniendo en cuenta la falta de diligencia a la hora de la obtención del consentimiento del afectado, la dejadez inicial en el marco de la LOPD en las “instrucciones” a la Empresa comercializadora—Partec--, así como, los daños y perjuicios ocasionados al afectado, cuantía que está en el mínimo de las infracciones leves y que en modo alguno puede considerarse desproporcionada, sino ponderada. Por todo ello se acuerda imponer a la Entidad—Galp Energía—una sanción cuya cuantía se cifra en la cantidad de 10.000€, infracción de carácter bajo dentro de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 escala de las infracciones leves. Cabe señalar que esta AEPD no es competente para entrar a valorar otras cuestiones como pretende el denunciante “cuantía de la deuda”, pues resulta conforme a la práctica comercial que deberá abonar a la compañía denunciada los suministros efectivamente prestados en su domicilio de los que ha disfrutado pacíficamente; sin perjuicio de que la sanción administrativa a imponer a la Entidad denunciada—Galp-- se deba a la infracción acreditada por falta de diligencia a la hora de recabar el consentimiento inequivoco del afectado o desplegar una mayor precaución en las altas de servicios realizadas por terceros (vgr. familiares del denunciante). Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GALP Energía España SAU, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
30. b)de dicha norma, una multa de 10.000€ (diez mil euros ) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la Entidad GALP Energía España SAU, y a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es