PS-00379-2013

1/21 Procedimiento Nº PS/00379/2013 RESOLUCIÓN: R/02668/2013 En el procedimiento sancionador PS/00379/2013, instruido por la Agencia Española de Protección de Datos a las entidades GALP ENERGIA ESPAÑA, S.A.U., y --PARTEC Representaciones S.L--, vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: D. A.A.A. (en lo sucesivo el denunciante) declara que, con fecha 2 de abril de 2012, se presentó un comercial en su domicilio diciéndoles que era de Gas natural, y que tenía que firmar un documento para que las facturaciones en vez de hacerlas desde Barcelona, se hicieran en Madrid, y los beneficios quedarían en su Comunidad, suscribiendo un contrato que ha resultado ser de mantenimiento de Confortgas básico y Conforthogar. Según expone el denunciante, les pidieron unas facturas de Gas Natural, apuntando algunos datos, y se fueron diciendo que no se preocupasen que ya estaba todo arreglado, resultando –sin embargo- que se les realizó un contrato de mantenimiento que no necesitaban. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GALP ENERGIA ESPAÑA, S.A.U., teniendo conocimiento de que: Con fecha de entrada 19/03/2013, a requerimiento de la Agencia, la entidad denunciada —Galp Energía-- acompaña una copia del contrato de gas suscrito, en el que –además de gas natural- aparecen marcadas las casillas “Servicios de ConfortGas básico y ConfortHogar”. Sin embargo, la compañía denunciada no acompaña copia del DNI del denunciante, ni pasaporte o cualquier otro documento acreditativo de la identidad del contratante. La fecha de dicho contrato es 02/04/2012.  En los ficheros de la entidad figura que se ha contratado el suministro de gas entre las fechas 21/06/2012 y 13/08/2012 por cambio de comercializadora.  También se ha contratado el servicio de mantenimiento ConfortHogar con fecha de alta 11/04/2012 y fecha de baja 10/08/2012.  En los ficheros de la entidad consta que el denunciante no tiene deuda pendiente. En el fichero de contactos con el cliente consta lo siguiente:  Con fecha 15/06/2012, el cliente telefonea indicando que no ha firmado ningún contrato con Galp Energía.  Con fecha 15/06/2012, consta anotación en la que se indica que el cliente manifiesta que se le indicó que se trataba de un tema de cambio de facturación de Barcelona a Madrid, solicitando la anulación de los mantenimientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 contratados, ya que firmó la esposa y no el titular, añadiendo que fueron claramente engañados.  Con fecha 18/06/2012, consta anotación en la que se indica que el cliente manifiesta que en ningún momento ha solicitado darse de alta en contrato de mantenimiento de ConfortGas, solicitando sean anulados dichos contratos y que las facturas que se le presenten al cobro las devolverá.  Con fecha 11/07/2012, la compañía aconseja al cliente que acuda al centro Galp más cercano. La clienta reitera que el titular no dio su consentimiento para contratar nada con Galp, siendo ella quien atendió al comercial. Asimismo, con esta misma fecha, el cliente manifiesta que desea recibir carta de pago de la factura de gas (llamada de la esposa).  Con fecha 12/07/2012, se produce nueva llamada solicitando la baja en la vigencia del contrato de gas y la anulación de las facturas.  Con fecha 26/07/2012, se produce nueva llamada del cliente, manifestando que no quiere tener nada que ver con Galp.  Con fecha 31/07/2012, el cliente vuele a llamar, manifestando que el comercial no le dijo la verdad, que es una persona mayor y quiere pagar el gas, pero no los mantenimientos, solicitando la cancelación definitiva y que no le cobren ningún recibo que no sea de consumo.  Con fecha 16/08/2012, el cliente solicita información del estado (de su reclamación).  Con fecha 04/09/2012, el cliente reclama resolución de incidencia.  Con fecha 24/10/2012, en relación con la campaña de CONTRATACIÓN INDEBIDA, se reseña “Nota resolución”, en la que se indica –en el apartado observaciones- “Dar de Baja CG y anular facturas pendientes. Devolución de lo abonado. Me comenta que lo que hay pendiente de pago de gas, ya está abonado”. Código Nivel2: Baja Servicios.  Con fecha 26/10/2012, se anota que se recibe escrito de reclamación de la D.G.C. de la Comunidad de Madrid, de fecha 25/10/2012, en la que el cliente reclama por alta fraudulenta, dado que se le está cargando un servicio de mantenimiento que no ha contratado, y que tampoco ha contratado suministro.  Con fecha 26/10/2012, se anota “Nota resolución”, indicando “Alta fraudulenta”, “compruebo que le han dado de baja el CH, está dado de baja por cambio de comercializadora. Han anulado las facturas del servicio de mantenimiento” “pendiente de envío carta”. Según figura en los ficheros de la entidad la fuerza de ventas responsable de la contratación es Partec Representaciones. Según ha quedado acreditado en el Acta de Inspección E/6200/2012 realizada en la entidad Partec Representaciones S.L. (en adelante Partec): C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 1.1. La actividad única de la entidad ha sido la comercialización de productos y servicios de Galp Energía, si bien actualmente no tiene ningún tipo de actividad, y la disolución final se producirá cuando finalicen los contenciosos que tienen interpuestos. 1.2. El único cliente que ha tenido Partec como empresa ha sido Galp. Comenzó a trabajar con ella en marzo de 2011 mediante contrato verbal. Inicialmente no recibe ninguna instrucción concreta de Galp en cuanto a la forma de proceder para recabar los datos personales incluidos en el contrato, sólo recibe los contratos de Galp en blanco para que los comerciales de Partec los cumplimenten. Siguiendo las instrucciones de Galp recibidas por correo electrónico no se consideraba necesario que el contrato estuviese firmado por el titular del suministro contratado, podía ser firmado por cualquier persona que se encontrase en el domicilio apelando al criterio del comercial (esposa, inquilino, hijo, etc….). En junio de 2012, Partec recibe un nuevo correo electrónico modificando este procedimiento. A partir de ese momento, los comerciales deben recabar los datos personales y firmar el contrato con el titular del servicio y si era inquilino debía aportar copia del DNI y autorización del titular del suministro En febrero de 2012 se firma un contrato por escrito donde sí figuran instrucciones concretas. Actualmente el contrato firmado entre ambas empresas se encuentra disuelto desde el 15 de octubre de 2012. 1.3. Partec llegó a tener entre 70 o 75 comerciales con los que tenía firmado un contrato mercantil. A los comerciales se los captaba en la calle y sin recibir ninguna formación concreta sobre los tratamientos de datos personales que debían realizar comenzaban a comercializar los productos y servicios de Galp a puerta fría, sin recibir con antelación ningún dato personal de los potenciales clientes. En marzo de 2012 Galp elabora un código de conducta para los comerciales que remite a Partec y se incluye en el contrato mercantil que firmaban los comerciales que se incorporan a partir de esa fecha. 1.4. Partec entregaba en la sede de Galp en Alcobendas los contratos en papel que le entregaban sus comerciales,. Pasados unos 15 días, Galp abonaba a Partec el importe pactado por la confección de los mismos. Partec no se quedaba con copia de los contratos, únicamente recogía en un documento Excel el listado de los domicilios donde se habían firmado contratos para chequear el correcto pago por parte de Galp. Una vez cobrados los servicios, se destruía el citado documento. Actualmente, guardan copia de los documentos Excel últimos porque están pendientes de cobrar y están en proceso judicial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 TERCERO: Con fecha 28 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las Entidades GALP ENERGIA ESPAÑA, S.A.U., y --PARTEC Representaciones S.L--, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (*en lo sucesivo LOPD), tipificadas como infracción grave en el artículo 44.3

1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€ de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad denunciada --GALP ENERGIA ESPAÑA, S.A.U.--, mediante escrito de fecha 24/07/2013 formuló alegaciones, significando de manera sucinta que: “Reconocimiento de la firma de un contrato. El denunciante reconoce que firmaron un contrato con engaño que luego resulto ser un contrato de mantenimiento Confortgas básico y ConfortHogar con Galp. No resulta creíble esta versión del denunciante ya que, en primer lugar, los comerciales tienen orden de identificarse como de la compañía Galp. Segundo, porque parece bastante confiado el hecho de entregar unas facturas, proporcionar unos datos y firmar unos documentos hasta cuatro veces sin leer lo que está firmando. Y, tercero, porque el supuesto comercial de Gas Natural dejó una copia del contrato firmado en el domicilio en que consta claramente el logo y nombre de Galp y que se titula “Contrato de gas natural, electricidad y servicios”. El contrato se encuentra firmado por la mujer del denunciante, según se indica por orden P.O, pero en presencia y con consentimiento del interesado, pues de sus declaraciones se deduce que fue una actuación conjunta con su mujer y que él estaba presente y, por tanto consintió… Pago de facturas y no existencia de deuda. El denunciante ha ido abonando las facturas correspondientes a los consumos reales realizados que fueron compensadas con los importes anulados de las facturas emitidas en concepto de servicios de mantenimiento. El denunciante no tiene deuda pendiente, ni mantiene relación alguna con esta compañía, y así se le ha comunicado nuevamente en Burofax de fecha 28/06/13, así como la cancelación de sus datos personales. Acumulación de procedimientos. En virtud del art. 73 de la Ley 30/92…esta parte considera que existe identidad sustancial entre el presente Procedimiento sancionador y los siguientes recientemente iniciados por esta AEPD: PS/00254/13; PS/00242/13; PS/00220/13 y PS/00183/2013. Medidas adoptadas por la compañía para evitar situaciones futuras anómalas. La compañía preocupada por el gran número de reclamaciones sobre este asunto ha tomado una serie de decisiones de forma urgente y cautelar.  Se realizaron 13.000 llamadas a aquellos clientes que negaban haber contratado.  Renuncia a la facturación de los suministros de contratos anulados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21  Revisión de los contratos con empresas de Task-forces y de la calidad de los servicios y cancelación de relaciones deficientes.  Establecimiento de un nuevo protocolo de contratación con los clientes (…). Por todo ello solicita, que tras los trámites oportunos, se dicte Resolución por la que se exonere de responsabilidad a decretando el Archivo del mismo. En fecha 09/08/2013, la Entidad denunciada—Partec Representaciones S.L— alega en la forma en que mejor proceda en Derecho que: Respecto a los hechos con fecha 02/04/12, se presentan en el domicilio del denunciante dos personas que dicen de ser de Gas Natural. Según manifiesta el denunciante, estas personas le convencen con engaños para que faciliten una factura de gas y que firmen unos documentos. Que empieza a recibir facturas y que él no está de acuerdo y solicita su baja. En cuanto a la relación con el comercial. El comercial interviniente se trata de D. B.B.B., con nº de DNI ***DNI.1 (*en adelante el “comercial”). La relación que vincula a Partec con el comercial es de carácter mercantil (relación entre dos empresarios independientes), según se acredita en la copia del contrato suscrito “El agente se obliga frente a la Empresa a promover y concluir las operaciones especificadas por la empresa, por cuenta ajena”. De las contradicciones de las reclamación que nos ocupa. Los hechos que relata el reclamante, resultan, ante todo, un tremendo exceso de confianza de su parte: por más que pueda inicialmente creer que los comerciales son representantes de Gas Natural, el pedido de cierta documentación y, sobre todo, la firma del documento que le presentan sin una lectura detallada son, a todas luces, una gran imprudencia. El Comercial indicó al reclamante que necesitaba su firma para que las facturas, en vez de hacerse desde Barcelona, se hicieran en Madrid ¿y el reclamante realizó cuatro firmas, en todos los casos al lado de una referencia que indica “Firma Cliente” o “el Cliente” y no le extraña, ni lee lo que está firmando, sobre todo cuando el documento en cuestión (el contrato—folio nº 5 y 6 del expediente9 posee un membrete grande y notorio de Galp? Para cuando firmó la denuncia que nos ocupa (4 de julio de 2012) y en los términos de la documentación disponible en el expediente (folios nº 7 a 9) Galp ya había emitido cuatro facturas y le había enviado dos cartas por pagos pendientes ¿no tuvo el reclamante nada que decir sobre la contratación irregular cuando recibió la primera factura en su domicilio? Los hechos parecen hablar más de un cliente que cambia de opinión en la contratación realizada y quiere darse de baja, pero conocedor de que el servicio de mantenimiento contratado es por periodos anuales, busca argumentos para su anulación, lo que además consigue. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 De la existencia de otro servicio de mantenimiento contratado por el reclamante. Pero es que el servicio de mantenimiento contratado por el reclamante (como surge del contrato que nos ocupa) no es meramente un servicio de mantenimiento de caldera como el que presta Saunier Dauval, sino que se trata del producto ConfortHogar de Galp, cuya cobertura no coincide con la que previsiblemente presta Saunier Dauval. Deriva todo lo anterior que no corresponde a mi mandante responsabilidad alguna por la gestión de los datos de carácter personal del denunciante, correspondiendo el Archivo de las actuaciones en lo que a Partec respecta. QUINTO: Con fecha 22/08/2013 se acordó por el órgano instructor denegar motivadamente la solicitud de prueba requerida por la Entidad denunciada—Partec— consistente en la toma de declaración del comercial: D. B.B.B., con DNI ***DNI.1, al ser considerada innecesaria a los efectos de la resolución del presente procedimiento. SEXTO: En fecha 20/09/13 se emite “Propuesta de Resolución” en la que se propone a tenor de las alegaciones y la documentación presentada que se sancione a la Entidad— Galp—con una sanción de 50.000€ y a la Entidad—Partec—como encargada del tratamiento con una sanción de 3.000€, en ambos casos por la vulneración del art. 6.1 LOPD, al no acreditar contra con el consentimiento del afectado para el tratamiento de sus datos de carácter personal. SÉPTIMO: En fecha 14/10/13 se recibe en esta AEPD las alegaciones de la Entidad denunciada—Partec—en dónde de manera sucinta alega que: De la falta de intervención del comercial en el procedimiento. Puede ser que inicialmente la AEPD no tuviera conocimiento de que las prestaciones de Partec habían sido a su vez subcontratadas con terceros, pero esta parte se ocupó de informar tal situación, así como de identificar al comercial que en concreto intervino en la reclamación que nos ocupa. El presentante, alega que es una víctima, puesto que el comercial abusó de su buena fe. No basta, por lo tanto, que la AEPD deseche sin más la prueba solicitada por esta parte, sino que es necesario que explique por qué motivo no considera necesario convocar al comercial. Resulta contrario a Derecho que identificado el comercial y reconocida la subcontratación de servicios, la AEPD no proceda a convocarle como parte en el procedimiento que nos ocupa en los términos del art. 34 LRJAP. De la participación de Unísono en el proceso de contratación que nos ocupa. Esta parte entiende que también la mercantil Unísono Soluciones de Negocios, S.A. A finales de enero del año 2012, Galp comunica que cambia las condiciones de prestación de servicios de Partec y de algunas otras empresas de comercialización, notificando que a partir de ese momento las gestiones de back-office (verificaciones y altas de los contratos en el sistema SAP de Galp) sería realizado por la mercantil Unísono. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 Falta de responsabilidad de Partec. Como ha quedado probado en el apartado anterior, las comprobaciones eran responsabilidad de Unísono. Es decir, que en el momento en que el contrato del reclamante se gestionó, no era necesario, a efectos del proceso de contratación solicitar copia de Documento de Identidad del nuevo cliente. Siendo el poder de decisión sobre la finalidad, uso y contenido del tratamiento es y siempre ha sido de Galp en relación con las gestiones de datos contratados (art. 3
2. d)LOPD), no puede corresponder a Partec en función de encargado del tratamiento, por el seguimiento de un criterio fijado por Galp (…). De la moderación de la sanción a tenor del art. 45 LOPD. Para el hipotético caso de que el Inspector no comporta los argumentos expuestos, consideramos que la multa que se propone debe moderarse hasta la aplicación de un mero apercibimiento: la actividad de Partec está muy condicionada por la intervención de otros sujetos; Partec no ha tenido ninguna intención de infringir o Partec no ha sido sancionado por la AEPD anteriormente. OCTAVO: En fecha 24/10/13 se recibe en esta AEPD escrito de alegaciones de la Entidad denunciada—Galp Energía—en la que manifiesta de manera sucinta que: Con relación al consentimiento. En virtud del principio de la buena fe en la contratación, Galp no tenía motivos para sospechar que la contratación se hubiera podido realizar sin el consentimiento del titular, puesto que en el contrato que obra en poder de la compañía, respecto del que debe resaltarse que también ha sido aportado por el propio denunciante, aparece la firma de su mujer precedida de la generalmente conocida abreviatura P.O (Por Orden). La identidad del titular si fue verificada por el comercial de la Task Force, al anotar en el contrato el nº del DNI exhibido por su representante, que coincide con el número del denunciante. Disponer de copia del DNI del denunciante, no es uno de los requisitos esenciales para la validez de los contratos, de conformidad con lo previsto en el art. 1.261 CC, por lo que la Agencia no puede exigir la conservación de la copia del DNI del contratante para acreditar que ha otorgado su consentimiento para una contratación o para un tratamiento de datos. Pago de facturas y no existencia de deudas. El denunciante ha ido abonando las facturas correspondientes a los consumos reales realizados que fueron compensados con los importes anulados de las facturas emitidas en concepto de servicios de mantenimiento. El denunciante no tiene deuda pendiente, ni mantiene relación alguna con Galp y así se le ha comunicado nuevamente en Burofax de fecha 28/06/13, así como, la cancelación de sus datos de carácter personal con carácter previo a la notificación del Acuerdo de Inicio del PS aportado previamente por Galp en el curso de la instrucción del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 De la diligencia. La Entidad adoptó otras medidas que pueden ser consideradas como de diligencia debida para confirmar la contratación y que son reflejadas en el Antecedente Cuarto de la Propuesta de Resolución: “Medidas adoptadas por la compañía para evitar situaciones futuras anómalas”. De la prestación de servicios por parte de Partec. Galp no tuvo actuación alguna en la contratación con el denunciante, por lo que las circunstancias en que esta se produjeron queda fuera de su control. Ha quedado acreditado que la contratación fue efectuada por persona ajena a Galp y, sin embargo, llama la atención que esta AEPD no haya practicado diligencia alguna directamente con el comercial para el esclarecimiento de los hechos. La infracción sería imputable únicamente a Partec y por extensión al comercial contratado por ella misma, que actuaron de forma independiente y contraria a las instrucciones de Galp. Desproporción de la sanción. Existe un agravio comparativo en la imposición de sanciones entre Galp y Partec. Galp no ha obtenido ningún beneficio como consecuencia de la comisión de la infracción; no existe intencionalidad (…). Por todo ello solicita el Archivo del presente procedimiento y con carácter subsidiario, una sanción en cuantía mínima en la escala correspondiente a las infracciones leves. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS Primero. En fecha 31/08/12 se recibe en esta AEPD reclamación del denunciante frente a la Entidad—Galp Energía—en dónde pone de manifiesto que: “nos han hecho un contrato de mantenimiento, que además nosotros no necesitamos porque desde el 2009, tenemos contratado un servicio de mantenimiento con Sanier Duval, que es la Empresa que nos revisa nuestra caldera”.—folio nº 1--. Segundo. Se aporta por la Entidad denunciada—Galp—copia del contrato firmado por Doña C.C.C., si bien el titular del mismo es D. A.A.A..—folio nº 23--. No se aporta copia del D.N.I o documento de naturaleza similar del titular de los datos. Tampoco consta documento de autorización acompañando a la copia del contrato. Tercero. En los sistemas de información de la Entidad denunciada—Galp— constan los datos de carácter personal del denunciante. Contrato Cliente Genérico: Cta. Contrato ***CONTRATO.1 Galp  Contrato Gas: 21/06/12----13/08/12. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21  Otros servicios (Contrato cesado): 11/04/12---10/08/12. (folio nº 27). Cuarto. En los sistemas de información de la entidad denunciada—Galp—“Call Center Clientes” constan las reclamaciones del denunciante, manifestando su disconformidad en la contratación. “Cliente llama indicando que no han firmado ningún contrato con Galp Energia. Solicita le den de baja todo lo relacionado con Galp”. Fecha 12/06/12 y 15/06/12 (junio) —folio nº 30--. “Cliente vuelve a llamar, no quiere tener 16/08/12 (folio nº 30). nada que ver con Galp”. Fecha: Quinto. La Entidad encargada de la realización y formalización de los contratos es Partec Representaciones S.L, siendo el comercial interviniente en este caso en concreto: D. B.B.B., con DNI ***DNI.1 (relación entre dos empresarios individuales). No consta copia del DNI o documento de naturaleza similar aportado por la Entidad Partec Representaciones S.L. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso, se procede a examinar la reclamación de fecha 31/08/2012 en dónde el epigrafiado pone de manifiesto ante esta AEPD de manera sucinta que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 “…se presentó un comercial en mi domicilio diciéndonos que era de Gas natural y que tenía que firmar un documento para que las facturaciones en vez de hacerlas desde Barcelona, se hicieran en Madrid, y los beneficios quedaran en nuestra Comunidad, teníamos que firmar un documento (que ha resultado ser un contrato de mantenimiento de Confortgas básico y ConfortHogar)”—folio nº 1--. La LOPD—LO 15/1999—define el consentimiento del afectado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consiente en el tratamiento de los datos de carácter personal que le conciernen” (art. 3h) LOPD). Por consiguiente, en este caso el tratamiento de los datos de carácter personal del afectado se produjo por el responsable del fichero (Galp) y por el encargado del tratamiento (Partec) en base a que el mismo “presuntamente” firmó el contrato. Entre la documentación aportada no consta copia del DNI o documento de naturaleza similar, que permita acreditar una diligencia en la contratación. Tampoco se aporta copia de documento alguno que acredite “autorización” a la hora de firmar el contrato. La única “prueba” que presenta la Entidad denunciada Galp para acreditar que contaba con el consentimiento inequívoco del afectado es copia de un contrato firmado por P.O por Doña C.C.C., no aportando ninguna documentación complementaria como se ha manifestado anteriormente. Item, en el documento contractual presentado (folio nº 23) en los espacios del formulario en dónde deberían estar plasmados los datos de la persona “autorizada” constan en blanco, esto es, no se han rellenado los campos: Actúa en nombre y representación, Nombre y apellidos DNI. Por tanto, no consta aportado ningún documento de autorización, ni del “Autorizante”, ni de la persona autorizada para actuar en el tráfico jurídico con plena eficacia jurídica. A mayor abundamiento, el nº de cuente corriente aportado por el denunciante, en la Entidad financiera—Caja Madrid—se corresponde con la siguiente numeración— ***CCC.1--; mientras que el que consta en el documento contractual aportado por Galp se corresponde con una numeración distinta: ***CCC.2-. A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. Item, la SAN—10/06/11—en dónde queda plasmado “Endesa no ha aportado copia del DNI, pasaporte u otro documento que permitiera comprobar que la persona titular de los datos del contrato efectivamente era a citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más, la firma del contrato se corresponde con la inquilina de la vivienda”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 Item, la SAN 16/12/12 en donde la Sala pone de manifiesto que: “El contrato es firmado por el cónyuge, sin que dicha circunstancia sea ocultada a la Empresa receptora de los datos. En el presente caso, considera la actora, que existen indicios de que la hija contaba con el consentimiento de su padre para facilitar sus datos personales a la Entidad vendedora, como son la relación de parentesco: padre-hija; el haber exhibido el DNI original; y el haber facilitado un dato de difícil acceso como es el número de cuenta bancaria”. “Como establece la Ley, es necesario tal consentimiento, y ello por tanto, también se debe aplicar en los casos de datos facilitados por parientes, como ha resuelto esta Sala, entre otras, en la Sentencia de la Audiencia Nacional de 6 de octubre de 2011 (Rec. 342/2010), fundamento de Derecho 4º: “La aportación de datos por un pariente o persona de confianza de aquel…no puede entenderse como suficiente a la hora de entender prestado el consentimiento….lo relevante es el consentimiento del titular de los datos”. Finalmente, la SAN 06/10/11 (Rec nº1 342 /2010) que en caso de naturaleza similar al que nos ocupa declara que: “En este caso hay que concluir que la empresa recurrente utilizó los datos de la denunciante sin su consentimiento y ello puesto que, aunque la nuera de la denunciante facilitara al "comercial de Endesa" (debe entenderse que es el empleado de la empresa Avanza) los datos del punto de suministro, una diligencia adecuada habría exigido de la empresa ahora recurrente solicitar de modo previo a la contratación la aportación, al menos, de una fotocopia del DNI donde una simple comparación de las firmas habría permitido entender como no era la denunciante la que había firmado el contrato con arreglo al que se dio de alta a la denunciante. Por lo tanto, la culpabilidad de la empresa recurrente procede del hecho de que no se han puesto en marcha todas las medidas que hubieran permitido una mínima comprobación de que contaba con el consentimiento de la persona titular de los datos a quien se estaba dando de alta en el servicio en cuestión.“ En los casos como el que nos ocupa, en que el denunciante niega haber prestado el consentimiento para el tratamiento de sus datos de carácter personal viene reiterando la Audiencia Nacional, ya en las Sentencias de esta Sección, de 25 de octubre de 2002 (recurso nº. 185/2001), 30 de junio 2004 (recurso nº. 619/2002 ) que la concurrencia del consentimiento inequívoco del afectado que exige el art. 6.1 para el tratamiento de datos de carácter personal por parte de un tercero, en el caso de que dicho interesado niegue haberlo otorgado, se ha de acreditar por quien realiza el tratamiento a través de los medios previstos legalmente a tal fin. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la que más correctamente se acomoda a lo dispuesto no solo en el citado art. 6.1 de la LOPD, sino C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Es cierto que Galp Energía no ha tenido contacto directo con los "clientes", pues dichas contrataciones se efectuaron a través del agente comercial contratado por la Entidad— Partec Representaciones S.L--, con el que había suscrito un "Contrato de prestación de servicios". Sin embargo, dicha circunstancia no puede servir para eximir de responsabilidad a la Entidad denunciada—Galp--, por cuanto como viene reiterando la Audiencia Nacional la responsabilidad en que, en su caso, haya podido incurrir dicho distribuidor o agente comercial al facilitar a Galp Energía datos de los denunciantes, sin su consentimiento, no la eximen del cumplimiento de la normativa en materia de protección de datos personales, ya que es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios, y la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar (aunque la recogida de datos se haga a través de terceros) y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente es la titular de los datos personales en cuestión Por todo ello, se considera que ha infringido el contenido del art. 6.1 LOPD y no puede esgrimir un desconocimiento de la normativa vigente en materia de protección de datos. IV En cuanto a la Entidad denunciada—Partec Representaciones S.L—la misma según se desprende de la documentación aportada “es un prestador de servicio de fuerza de ventas de Galp Energía España S.A.U”. Dentro del marco de la Legislación vigente en materia de protección de datos ocuparía la figura de “encargado del tratamiento”. El art. 3 letra
4. g)LOPD—LO 15/99—define la figura del encargado del tratamiento de la siguiente manera: “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el caso que nos ocupa, la Entidad Partec a su vez encargo la realización y toma de los datos a un agente comercial: D. B.B.B., siendo la relación entre ambos de carácter mercantil (relación entre dos Empresarios independientes). “El agente se obliga a actuar lealmente y de buena fe velando por los intereses de Partec Representaciones S.L por cuya cuenta actúa, en el ejercicio de la actividad encomendada”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía—(vgr. aportado en el PS/00183/2013). A saber: “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado”. Las Entidad denunciada—Partec—no está en disposición de aportar copia del DNI o documento de naturaleza similar que acredite de forma fehaciente que contaba con el consentimiento inequívoco e informado del titular de los datos: D. A.A.A.. En interpretación del art. 6.1 LOPD, la Audiencia Nacional ha venido manteniendo de forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento de inequívoco. En el caso, que nos ocupa estamos en el supuesto descrito: “Mi sorpresa es que empiezo a recibir facturas…”; “…no le dimos la cuenta bancaria, ni datos bancarios….ya que nos sentimos estafados”.—folio nº 1--. No puede dejar de señalarse que la representación legal de la Entidad denunciada—Partec Representaciones—dedica considerables esfuerzos argumentativos a descargar la responsabilidad en el “comercial”, si bien no consta acción penal alguna contra el mismo (vgr. presunto delito de estafa---ex art. 258 y ss LO 10/1995) aportada como medio de prueba admisible en Derecho en el seno del presente procedimiento. Item, cabe reseñar que la Entidad denunciada –Partec Representaciones S.L— C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 era una empresa (Task Force) cuya principal finalidad era la “captación de nuevos clientes”, para lo cual contaba con una organización jurídicamente creada y a su vez, encargaba la realización de las contrataciones a distintos “comerciales” bajo su supervisión obteniendo con ello una comisión; por todo ello le es exigible una mínima observancia de la normativa vigente en materia de protección de Datos. A tal efecto, la SAN 06/10/11 (Rec nº 342/2010) dictamina que: “Obviamente, la sanción a la empresa recurrente es independiente de la que hubiera podido imponerse a la empresa comercializadora y lo acertado de la sanción impuesta no puede verse empañado por la incoación ó no del expediente sancionador frente a Avanza y ello pues, además, a esta Sala no le consta si se ha seguido ó no expediente sancionador contra esta empresa”. Item se trae a colación el siguiente pronunciamiento de la Audiencia Nacional—SAN 02/12/10 (Rec. Nº 670/2009), ante la reiteración en las alegaciones de la Entidad denunciada—Partec—de su total falta de responsabilidad administrativa en la cuestión objeto del presente procedimiento. “Por tanto, el hecho de que la responsable del tratamiento y del fichero sea Endesa Energía y en esa condición tenga la obligación de asegurarse que contaba con el consentimiento de la denunciante para tratar sus datos de carácter personal, no exime a la recurrente como encargada de la captación de nuevos clientes del servicio de suministro eléctrico y de la formalización de la solicitud de suministro de gas natural facilitada por Endesa, de la obligación de realizar un mínimo trabajo de supervisión que, como señala la AEPD, permita detectar y controlar la regularidad de la recogida de datos por parte de sus agentes. Se trata de responsabilidades (la de Endesa Energía e Intecas) no excluyentes sino plenamente compatibles, conforme viene reiterando esta Sala en supuestos similares”. Por todo ello, se considera que la Entidad denunciada—Partec-- ha infringido el contenido del art. 6.1 LOPD y no puede esgrimir un desconocimiento de la normativa vigente en materia de protección de datos. V Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
5. a)El carácter continuado de la infracción.
6. b)El volumen de los tratamientos efectuados.
7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
8. d)El volumen de negocio o actividad del infractor.
9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21
10. f)El grado de intencionalidad.
11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “...no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar las operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de dato (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). En cuanto a la Entidad denunciada—Galp Energía S.A—queda acreditado que no contaba con el consentimiento inequívoco de los datos del afectado, puesto que nunca los facilitó, procediendo a la utilización y tratamiento de los mismos, vulnerando con ello el contenido del art. 6.1 LOPD. Contrariamente, a lo manifestado por la Entidad denunciada—Galp—sobre la aportación del D.N.I del afectado; éste no pudo aportarlo mediante exhibición personal del mismo al comercial, puesto que el contrato lo firmó Doña C.C.C.; no constando unido a la documentación ni el D.N.I de la persona autorizada, ni documento alguno de autorización. Tampoco a pesar de que el titular de los datos era D. A.A.A. se realizó actividad de comprobación alguna por la Entidad responsable del fichero (Galp) (vgr. llamada de verificación, envío de copia del contrato para que lo analizase y firmase el titular, etc). Item, es desacertada desde un punto de vista del Derecho civil, la cita al art. 1.261 CC a la hora de justificar la validez de la contratación, dado que en el art. 1.259 CC se establece claramente: “Ninguno puede contratar a nombre de otro sin estar por éste autorizado o sin que tenga por la ley su representación legal. El contrato celebrado a nombre de otro por quien no tenga su autorización o representación legal será nulo, a no ser que lo ratifique la persona a cuyo nombre se otorgue antes de ser revocado por la otra parte contratante”. Como establece la Ley, es necesario tal consentimiento, y ello también se debe aplicar, por tanto, en los casos de datos facilitados por parientes, como ha resuelto la Audiencia Nacional, entre otras, en la Sentencia de la Audiencia Nacional de 6 de octubre de 2011 (rec. 342/2010 ), fundamento de derecho 4.º: "La aportación de datos por un pariente o persona de confianza de aquél... no puede entenderse como suficiente a la hora de entender prestado el consentimiento... lo relevante es el consentimiento del titular de los datos". Por lo tanto, la culpabilidad de la empresa denunciada—Galp--procede del hecho de que no se han puesto en marcha todas las medidas que hubieran permitido una mínima comprobación de que contaba con el consentimiento de la persona titular de los datos a quien se estaba dando de alta en el servicio en cuestión. No obstante, si se tiene en cuenta la actuación de un tercero de buena fe—la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 mujer del titular de los datos—a la hora de acotar el elemento subjetivo de la culpabilidad: puesto que pudo realizar algo más en una mínima actuación diligente (vgr. no firmar documento alguno). Por ello se tiene en cuenta la aplicación del art. 45.5 LOPD, en concreto el apartado
20. a)del mismo. “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción, pues la misma ha sido calificada como infracción grave—art. 44.3
21. b)LOPD—se ha de acudir a los criterios establecidos en el art. 45.4 LOPD., si bien estableciendo una sanción dentro de la escala de graduación para las infracciones leves: 900€ hasta 40.000€.En concreto, se tienen en cuenta:  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. -Art. 45.4
22. c)LOPD--.  El volumen de negocio o actividad del infractor. —Art. 45.4
23. d)LOPD--. A modo ilustrativo, la Entidad Galp obtuvo de beneficio neto en el año 2012 unos aproximadamente 359 millones de euros.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. —Art. 45.4
24. h)LOPD--. La Entidad denunciada—Galp--por su actividad trata multitud de datos de terceros, viene obligada como responsable del fichero a prestar la máxima diligencia en el tratamiento de tales datos, respetando este derecho fundamental de las personas que consiste en un poder de disposición y control sobre los datos personales y que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero (STC 292/2000). Y tal falta de diligencia presupone la concurrencia de culpabilidad en la actuación de la actora. Por todo ello se acuerda que se imponga a la entidad—Galp—una sanción, que se cifra en la cuantía de 20.000€. En cuanto a la Entidad—Partec Representaciones S.L—como Entidad encargada del tratamiento (art. 3h) LOPD), la misma tampoco está en disposición de acreditar que cuente con el consentimiento inequívoco e informado del titular de los datos, incumpliendo con ello la normativa vigente en materia de protección de datos, en concreto el contenido del art. 6.1 LOPD. Al respecto hay que reseñar que el hecho de que la Entidad denunciada—Partec Representaciones S.L--realizara el tratamiento de los datos de la afectada por cuenta de Galp Energia (responsable del fichero), no le exime de tener que efectuarlo conforme a las exigencias de la LOPD. Por otra parte, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 No obstante, lo anterior se tiene en cuenta la aplicación del art. 45.5 LOPD; en concreto el apartado
25. a)del citado precepto. “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer a la Entidad denunciada—Partec—se tienen en cuenta los siguientes criterios establecidos en el art. 45.4 LOPD:  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. 45.4
26. c)LOPD.  El volumen de negocio o actividad del infractor. —Art. 45.4
27. d)LOPD.  La naturaleza de los perjuicios causados a las personas interesadas. 45.4
28. h)LOPD. Por todo ello se acuerda imponer una sanción a la Entidad denunciada—Partec Representaciones—que se cifra en la cuantía de 3.000€; sanción situada en el escalafón inferior de las infracciones leves. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GALP ENERGIA ESPAÑA, S.A.U por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
29. b)de dicha norma, una multa de 20.000€ (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad --PARTEC Representaciones S.L-- por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
30. b)de dicha norma, una multa de 3.000 € (tres mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a la Entidad denunciada GALP ENERGIA ESPAÑA, S.A.U y a la Entidad denunciada --PARTEC Representaciones S.L--- y a Don A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es