← España

PS-00380-2013

1/25 Procedimiento Nº PS/00380/2013 RESOLUCIÓN: R/02861/2013 En el procedimiento sancionador PS/00380/2013, instruido por la Agencia Española de Protección de Datos a las entidades --GALP ENERGIA ESPAÑA, S.A.U--. y PARTEC Representaciones S.L, vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: D. A.A.A. (en lo sucesivo el denunciante) declara que ha recibido facturas en su domicilio por productos y servicios de Galp Energía España que no ha contratado. “Me reclaman el pago de facturas sin haber contratado antes sus servicios. He intentado contactar con ellos en repetidas ocasiones para que me aclaren quién dio el alta el contrato, del que no tengo ni siquiera una copia…” (folio nº 1). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GALP ENERGIA ESPAÑA, S.A.U., teniendo conocimiento de que: 1. En los ficheros de Galp figura que a nombre del afectado se han contratado los siguientes servicios: a. Suministro de gas con fecha de alta 02/04/2012 y baja por cambio de comercializadora el 04/05/2012 b. Suministro de electricidad con fecha de alta 20/03/2012 activo en la fecha en que se han realizado las presentes actuaciones previas: 12/03/2012. c. Servicio de mantenimiento Confortgas con fecha de alta 20/03//2012 y baja el 19/09/2012 d. Servicio de mantenimiento con fecha de alta 20/03/2012 y baja 19/09/2012 Los representantes de la entidad aportan copia de un contrato a nombre del afectado cumplimentado en fecha 01/03/2012. 2. En el sistema de facturación de la entidad figura que como consecuencia de los servicios contratados se han generado 6 facturas, 5 de ellas anuladas y una compensada en fecha 02/02/2013. La deuda que figura en el sistema es de 8,02 € 3. En el fichero de contactos mantenidos con el cliente figura:  Con fecha 12/09/2012 se recibe una carta de fecha 24/08/2012 en la que el afectado manifiesta que la contratación es fraudulenta. Desde la entidad dan de baja los servicios de mantenimiento Confortgas y Confothogar con fecha 19/09/2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25 Con fecha 13/09/2012 le remiten una carta de respuesta indicando el procedimiento para el cambio de comercializadora de los servicios de gas y electricidad y le informan de la baja en los servicios de mantenimiento contratados a su nombre.  Con fecha 08/10/2012 se recibe una reclamación de consumo indicando que no ha dado su consentimiento a la contratación de los servicios de mantenimiento Confortgas y Conforhogar. Con fecha 09/10/2012 se procede a la anulación de los conceptos de servicios de mantenimiento que figuran en las facturas, procediendo a emitir facturas con sólo el consumo de gas. Además se verifica que el suministro eléctrico se encuentra pendiente de activación, procediendo a informar al departamento de Contratación “para poder realizar una correcta resolución del expediente”. Con fecha 02/11/2012 remiten escrito a consumo indicando que en sus sistemas figura un contrato firmado a nombre del afectado y que el suministro de gas se ha dado de baja por cambio de comercializadora. Los servicios de mantenimiento se han dado de baja en septiembre de 2012. En este escrito se hace constar que el cliente tiene una deuda con la entidad derivada del consumo de gas efectuado entre abril y mayo de 2012. A pesar de lo anterior, según figura en el sistema de información de Galp, el suministro eléctrico fue dado de alta 20/03/2012 y continúa activo hasta la fecha. 4. La fuerza de ventas responsable de cumplimentar el contrato a nombre del afectado es Partec Representaciones S.L. Según ha quedado acreditado en el Acta de Inspección E/6200/2012 realizada en la entidad Partec Representaciones S.L. (en adelante Partec):

  1. a)La actividad única de la entidad ha sido la comercialización de productos y servicios de Galp Energía, si bien actualmente no tiene ningún tipo de actividad, y la disolución final se producirá cuando finalicen los contenciosos que tienen interpuestos.
  2. b)El único cliente que ha tenido Partec como empresa ha sido Galp. Comenzó a trabajar con ella en marzo de 2011 mediante contrato verbal. Inicialmente no recibe ninguna instrucción concreta de Galp en cuanto a la forma de proceder para recabar los datos personales incluidos en el contrato, sólo recibe los contratos de Galp en blanco para que los comerciales de Partec los cumplimenten. Siguiendo las instrucciones de Galp recibidas por correo electrónico no se consideraba necesario que el contrato estuviese firmado por el titular del suministro contratado, podía ser firmado por cualquier persona que se encontrase en el domicilio apelando al criterio del comercial (esposa, inquilino, hijo, etc….). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 En junio de 2012, Partec recibe un nuevo correo electrónico modificando este procedimiento. A partir de ese momento, los comerciales deben recabar los datos personales y firmar el contrato con el titular del servicio y si era inquilino debía aportar copia del DNI y autorización del titular del suministro En febrero de 2012 se firma un contrato por escrito donde sí figuran instrucciones concretas. Actualmente el contrato firmado entre ambas empresas se encuentra disuelto desde el 15 de octubre de 2012. a. Partec llegó a tener entre 70 o 75 comerciales con los que tenía firmado un contrato mercantil. A los comerciales se los captaba en la calle y sin recibir ninguna formación concreta sobre los tratamientos de datos personales que debían realizar comenzaban a comercializar los productos y servicios de Galp a puerta fría, sin recibir con antelación ningún dato personal de los potenciales clientes. En marzo de 2012 Galp elabora un código de conducta para los comerciales que remite a Partec y se incluye en el contrato mercantil que firmaban los comerciales que se incorporan a partir de esa fecha. b. Partec entregaba en la sede de Galp en Alcobendas los contratos en papel que le entregaban sus comerciales. Pasados unos 15 días, Galp abonaba a Partec el importe pactado por la confección de los mismos. Partec no se quedaba con copia de los contratos, únicamente recogía en un documento Excel el listado de los domicilios donde se habían firmado contratos para chequear el correcto pago por parte de Galp. Una vez cobrados los servicios, se destruía el citado documento. Actualmente, guardan copia de los documentos Excel últimos porque están pendientes de cobrar y están en proceso judicial TERCERO: Con fecha 28 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las Entidades --GALP ENERGIA ESPAÑA, S.A.U--.,y--PARTEC Representaciones S.L--, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como infracción grave en el artículo 44.3
  3. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€ de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad GALP ENERGIA ESPAÑA, S.A.U., mediante escrito de fecha 24/07/13 formuló alegaciones, significando, que: Evidencia de un contrato firmado por el denunciante. El nombre del denunciante aparece en un contrato de gas y mantenimiento ConfortGas y ConfortHogar. Estos servicios se prestan con la cobertura de un contrato por escrito firmado por el denunciante, el cual en el expediente como folio nº 29. Este contrato tiene una apariencia de legalidad que no hace sospechar que pudiera ser consecuencia de un acto irregular por parte del comercial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 Rápida reacción. Con fecha 12/09/12 se recibe una carta del denunciante en la que señala que la contratación que se le ha realizado es fraudulenta. Hasta ese momento, la Compañía no tiene conocimiento de posibles irregularidades. Así, al día siguiente remite una carta al cliente indicándole la cancelación cautelar de los servicios de mantenimiento con fecha 19/09/12 y se le informó del procedimiento para solicitar el cambio de comercializadora, ya que éste es un trámite que no puede realizar la propia Compañía de oficio sino sólo el cliente. Sin embargo, por un error se han emitido dos facturas en fecha 09/10/12 y 06/11/12 por los servicios de mantenimiento que estaban cesados. Sobre Partec y la no concurrencia en Galp de elemento de la culpabilidad. El denunciante fue captado como cliente por la empresa de fuerzas de venta—Partec Representaciones S.L--. Actualmente, se están preparando acciones judiciales contra Partec en base a un delito de estafa contra Galp, acciones que presentaremos ante la AEPD cuando se presenten en los Juzgados de Madrid. Medidas adoptadas por la Compañía para evitar situaciones anómalas futuras. La Compañía preocupada por el gran número de reclamaciones sobre este asunto ha tomado una serie de decisiones de forma urgente y cautelar (vgr. ofrecer explicaciones y resolver la queja, cancelar y reintegrar las facturas del servicio, establecimiento de un nuevo protocolo de contratación con los clientes, etc). Campañas de control con llamadas de comprobación a los nuevos clientes contratados. Por todo ello solicita que se exonere de responsabilidad a la presente Entidad y se decrete el archivo del presente procedimiento. La Entidad denunciada—Partec Representaciones S.L—formuló alegaciones en Derecho ante esta AEPD en fecha 09/08/13 en dónde manifiesta que: Hechos que motivan este expediente. La clave de esta reclamación radica en el hecho de que las facturas que adjunta el reclamante coinciden en el tiempo, es decir, que los dos proveedores del servicio se adjudican el suministro del reclamante (cosa técnicamente imposible). De la relación con el comercial. En cuanto al comercial interviniente se trata de D. B.B.B., en adelante “el comercial”. Entre las obligaciones con el comercial se indica en la clausula Quinta de dicho documento que: “El agente se obliga a actuar lealmente y de buena fe velando por los intereses de Partec Representaciones S.L, por cuya cuenta actúa, en el ejercicio de la actividad encomendada”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 De la falta de responsabilidad de Partec en la reclamación. Existen aquí dos situaciones distintas a analizar, la supuesta contratación fraudulenta de Galp Energía y, por otro, una irregularidad en el proceso de cambio de suministrador del reclamante, dado que dos compañías de suministro de gas natural se atribuyen en un mismo periodo de tiempo la prestación del servicio al reclamante. No adjunta el reclamante copia de su DNI, con lo que no es posible hacer ninguna comparación que pueda entenderse como indubitada entre la firma que aparece en su reclamación y las numerosas firmas que aparecen en el contrato. No se pronuncia tampoco el reclamante sobre el número de teléfono o el número de cuenta bancaria disponibles en el contrato ¿son datos válidos? Medidas probatorias. Además de la prueba documental que acompaña a la presente, se solicita la producción de las siguientes medidas probatorias (…): emplazamiento del comercial; verificaciones ante la Caixa y que se realicen pruebas de cotejo galigráficos. QUINTO: Con fecha 29/10/13 se deniega motivadamente la solicitud de prueba del representante legal de la Entidad denunciada—Partec—consistente en el emplazamiento del comercial, que realizó la contratación del servicio; la solicitud de prueba caligráfica en aras a cotejar las firmas; el emplazamiento de la mercantil— Unísono—y la solicitud de información a la Entidad financiera: La Caixa sobre titularidad de un nº de cuenta bancaria; todas ellas por ser consideradas innecesarias. SEXTO: En fecha 04/11/13 dentro del periodo de pruebas—ex art. 81 Ley 30/92—se procede de oficio a citar en comparecencia personal al denunciante para que aporte copia (anverso y reverso) del DNI; aporte documentación sobre la titularidad de sus cuentas bancarias en la Entidad financiera—La Caixa--, así como, aporte cualquier documento que considere oportuno en Derecho. SÉPTIMO: Con fecha 08/11/13 se procede a notificar la “Propuesta de Resolución” a las Entidades denunciadas; tras la fase de instrucción se estima conveniente, salvo mejor parecer en Derecho; proponer una sanción cifrada en la cantidad de 50.000€ a la Entidad—Galp—por infracción del art. 6.1 LOPD (44.3 b LOPD) y, asimismo, se propone una sanción cifrada en la cuantía de 3.000€ a la Entidad encargada del tratamiento—Partec-- por infracción del art. 6.1 LOPD (44.3 b LOPD). OCTAVO: Con fecha 09/12/13 se recibe en esta AEPD las alegaciones de la Entidad denunciada—Partec--, en dónde alega de manera sucinta que: Del consentimiento inequívoco. La acreditación de ese consentimiento queda cumplida con la aportación de un contrato firmado. Y es el reclamante quien, a su vez, denuncia que no reconoce la rúbrica que aparece en el formulario de contratación. Máxime cuando el cotejo “prima facie” se realiza sobre una firma que no puede considerarse bajo ningún concepto un documento indubitado, como es la firma de la solicitud de denuncia que da origen al Expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 A tenor de lo ya mencionado, la decisión de la Administración sin la consulta a un perito sobre este asunto, no sería más que un acto arbitrario carente de fuerza probatoria para demostrar que la firma del reclamante fue falsificada (…). De la imposibilidad de aportación del DNI del reclamante por parte de Partec. El contrato entre Galp y mi mandante fue resuelto a finales del año 2012…no sería legítimamente posible que mi mandante estuviera en disposición de aportar la copia del DNI que la instrucción le demanda. Esta parte no entiende por que no se requiere la aportación de esta documentación a Unisono Soluciones de Negocio S.A (….). De la responsabilidad de Partec. Atendiendo a la calificación contractual que ha establecido la AEPD para la relación jurídica entre Galp y Partec, esta parte no puede entender por qué el comercial no ha sido citado (…). De la necesaria revisión de la sanción a tenor del art. 45 LOPD por la falta de responsabilidad de Partec. NOVENO: Con fecha 09/12/12 se recibe en esta AEPD escrito calificado como “Recurso Reposición” por inadmisión de las medidas probatorias oportunamente solicitadas por esta parte en las actuaciones: comparecencia del comercial; la no inclusión de Unísono en el presente procedimiento; de la no inclusión de la prueba pericial caligráfica y la no solicitud de información a la Entidad financiera: La Caixa. DÉCIMO: En fecha 11/12/13 se recibe en esta AEPD alegaciones de la Entidad denunciada—Galp- a la Propuesta de resolución del Director de la AEPD en dónde pone de manifiesto que: De la relación de Antecedentes. Se ha de hacer una rectificación a los Antecedentes relacionados por el Instructor sobre el contrato de suministro eléctrico. Este punto ya fue aclarado por la Compañía en sus alegaciones al Acuerdo de Inicio por lo que sorprende que el Instructor no haya recogido correctamente estos Hechos estableciendo (…). La fecha de 20/03/12 era la fecha en la que el contrato de electricidad tenía que haberse activado pero finalmente esta no se produjo nunca. Así se le informa al cliente en carta de 13/09/12 atendiendo a su solicitud de baja del servicio de Gas y demás servicios. Por tanto como se demuestra, nunca se procedió a dar de alta en el servicio de electricidad y se anularon el resto de servicios contratados. De la no concurrencia en Galp de elemento de la culpabilidad. En todo caso, si nos encontráramos ante un supuesto de falsificación de firma por parte de Partec, actuando la compañía de buena fe, sería después de todo competencia de la jurisdicción penal (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 La compañía actuó en todo caso de buena fe, confiando en la labor que le ha encomendado Partec como Empresa de fuerza de ventas y que esta Entidad la llevara a cabo con plenas garantías legales. De los hechos constatados en la Inspección E/06149/2012. No existe activo ningún contrato a nombre del afectado y todas las facturas han sido anuladas o compensadas no existiendo ninguna deuda pendiente. Galp pone de manifiesto que ha obtenido una certificación Notarial, de fecha 8/10/13, presentada a la AEPD el pasado 23/10/13, en la que se determina que se han efectuado de forma efectiva todos los cambios necesarios en el sistema de información de Galp que gestiona los clientes (…). Los datos del denunciante se encuentran en un listado de 51 expedientes sobre los cuales se solicita al Notario compruebe el bloqueo. Esta parte solicita que se tenga en cuenta toda la documentación aportada a la hora de resolver el presente procedimiento y que no se limiten a los hechos constatados el 20 de junio. De los criterios del art. 45.4 LOPD aplicados. Propone la AEPD una sanción para la compañía de 50.000€ debido a la falta de consentimiento de la titular de los datos, estimando que concurren circunstancias que justifican la aplicación de determinados criterios de graduación establecidos en el art. 45.4 LOPD, sobre los cuales se han de hacer las siguientes consideraciones: Esta parte considera que resulta de aplicación lo dispuesto en el art. 45.5 LOPD para poder aplicar la escala relativa a las infracciones leves: referente al carácter continuado de la infracción (dada la celeridad en indicarle la contratación fraudulenta); con relación a los beneficios obtenidos que no se han obtenido al haberse anulado las facturas, referente al grado de intencionalidad (al tratarse de una contratación realizada por el encargado del tratamiento) y referente a la naturaleza de los perjuicios ocasionados, ya que se han anulado o compensado todas las facturas. DÉCIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. En fecha 17/08/12 se recibe en esta Agencia reclamación del afectado en la que pone de manifiesto que: “Me reclaman el pago de facturas sin haber contratado antes sus servicios. He intentado contactar con ellos en repetidas ocasiones para que me aclaren quién dio de alta el contrato que no tengo (…) –folio nº 1--. Segundo. En los sistemas de información de la Entidad denunciada—Galp Energía—constan los datos de carácter personal del afectado. La Entidad aporta copia de “presunto” contrato a nombre de Don A.A.A., con fecha 01/03/12. Nº de Cuenta Bancaria ***CCC.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 De una mera comparación entre las firmas, esto es, la aportada por el denunciante en su escrito ante esta Agencia y la que consta en el contrato aportado por la Entidad denunciada, se ha de señalar que las mismas no coinciden. El contrato no está acompañado de copia del DNI o documento de naturaleza similar, que acredite la autenticidad de la contratación. En comparecencia personal, el denunciante manifiesta expresamente que “la firma del contrato no es la suya, que ha sido falsificada y que no reconoce el nº de cuenta corriente vinculado en el contrato”—folios nº 145 y 146--. Tercero. La Entidad denunciada—Galp-- ha tratado los datos de carácter personal del afectado mediante la emisión de facturas.  Nº de Factura: ***FACTURA.1.Fecha de emisión: 22/03/12. Total importe: 11,04€.—folio nº 45--.  Nº de Factura: ***FACTURA.2. Fecha de emisión: 13/05/12. Total importe: 40,77€.—folio nº 46 y 47--.  Nº de Factura: ***FACTURA.3. Fecha de emisión: 25/07/12. Total a pagar: 480,09€.—folio nº 48 y 49--.  Nº de Factura: ***FACTURA.4. Fecha de emisión. 09/10/2012. Total factura: 23,77€.—folio nº 50 y 51--.  Nº de Factura: ***FACTURA.5. Fecha de emisión: 09/10/2012. Total factura. 442,30€.—folio nº 52 y 53--.  Nº de Factura: ***FACTURA.6. Fecha de emisión. 06/11/2012. Total factura. 60,04€.—folio nº 54--. Cuarto. En los sistemas de información de la Entidad denunciada—Galp— constan las reclamaciones del afectado: “Se recibe carta del cliente fecha 24/08/2012 dónde el cliente solicita baja de todos sus contratos por contrato fraudulento”—folio nº 36--. Reclamación de fecha en los sistemas: 12/09/12. Quinto. La Entidad encargada de la formalización y prestación del servicio de ventas es la Entidad denunciada—Partec- ; esta encargó a su vez al comercial: Don B.B.B. la labor de “promover y concluir la operación comercial”. La Entidad denunciada—Partec—no aporta copia del DNI o documento de naturaleza similar del afectado, que acredite que contaba con el consentimiento inequívoco del afectado. Entre las obligaciones de la Entidad denunciada—Partec—se encuentran según se desprende de la documentación contractual aportada las siguientes: “El Proveedor (Partec) deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo, y en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente en materia de protección de datos de carácter personal y sobre protección de los consumidores y usuarios”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 “El Proveedor realizará el tratamiento necesario para la prestación de los servicios conforme a las obligaciones que se derivan de la LOPD, entre otras, las obligaciones de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al Proveedor”. “Las obligaciones establecidas para el Proveedor en la presente clausula serán también exigibles a sus empleados, colaboradores, tanto externos como internos y subcontratistas…”. FUNDAMENTOS DE DERECHO I Antes de entrar en el fondo del asunto que nos ocupa, es necesario entrar a realizar una serie de puntualizaciones, sobre el conjunto de alegaciones de la Entidad denunciada— Partec--. El art. 89.1 Ley 30/92-LRJYPAC- dispone que: “La resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo”. A lo largo del conjunto de alegaciones de la Entidad denunciada—Partec-- se plantean cuestiones de índole “civil”, mercantil, penal, etc cuyo planteamiento no supone que el órgano administrativo haya de entrar a pronunciarse sobre todas y cada una de ellas. La cuestión objeto del presente Expediente se centra en la infracción por parte de la misma de las obligaciones contractuales asumidas en materia de LOPD. La admisión de cada tipo de prueba se realiza según su naturaleza y su relación con cuanto se intenta verificar, adecuación e idoneidad que tiene reflejo en la admisibilidad y pertinencia (TC0 116/1997). La Jurisprudencia reconoce una amplia libertad al Instructor para decidir sobre los hechos que se pretenden probar y si son o no pertinentes los “medios” de prueba propuestos por los interesados (TS 04/03/97. RJ 1860). El órgano instructor puede practicar de oficio cuantas pruebas sean adecuadas para la determinación de los hechos y posibles responsabilidades, pudiendo declarar “improcedentes” aquellas pruebas que por su relación con los hechos no puedan alterar la Resolución final a favor del presunto responsable. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 En el presente caso, el denunciante aporta mediante comparecencia personal en sede administrativa copia del DNI, anverso y reverso, en documento vigente a día de la fecha (folio nº 145)—prueba documental--: las firmas plasmadas en el contrato enviado por la Entidad denunciada—Partec— recogida por el “comercial” pertinente (folio nº 29 y 30) en dónde se firma como ***NOMBRE.1 y la firma que consta en su D.N.I válidamente expedido por el Ministerio del Interior (folio nº 145 del Expediente), en dónde la rúbrica es D. ***APELLIDO.1, difieren de la mera comparación ocular de las mismas: esto es, son firmas completamente distintas en trazado y características. A mayor abundamiento, el número de cuenta corriente que está plasmado en el documento contractual: ***CCC.1; no es reconocido como vinculado al afectado: esto es, manifiesta que no pertenece al mismo, ni a ningún familiar suyo; aportando copia de la Libreta de la Entidad financiera: La Caixa en dónde está vinculado a su nº de cuenta corriente ***CCC.2. La prueba de cargo de que dispone la Administración se examina, por regla general, en las dependencias del órgano Instructor y la parte denunciada—ex art. 35
  4. a)Ley 30/92--: puede solicitar copia de la documentación que obre en el Expediente o solicitar la vista del mismo, como así ha ocurrido siempre que lo ha solicitado en legal forma la parte denunciada: Partec. Por parte del órgano Instructor, no ha existido impedimento a la libre valoración de prueba que se pretendía realizar, esto es, nada impide que la Entidad denunciada— Partec- realice la “prueba pericial” solicitada mediante Perito caligráfico debidamente acreditado—a su libre elección-- y que aporte al presente Procedimiento: el correspondiente Informe. Por consiguiente, quien quiera que algo tenga la validez de Hecho Probado será quien deba aportar y acreditar lo necesario para que adquiera dicho valor, esto es: será el que algo pretenda el que obligatoriamente aporte las pruebas que fundamenten el derecho solicitado. En cuanto a la “actuación” del comercial, la responsabilidad del mismo es independiente de la “responsabilidad” de la Entidad denunciada: Partec, la cual ha de responder por el incumplimiento de la normativa vigente en materia de protección de Datos, que sujeta a sus mandatos únicamente al responsable del fichero y al encargado del tratamiento –43 LOPD--, cuya cualidad difiere de la ostentada en el presente caso por el tan citado “comercial”. El empresario puede quedar sujeto a una responsabilidad civil por la comisión de un delito o falta si de sus actos u omisiones se derivan perjuicios para terceros. Así lo establece el art. 116.1 CP cuando dice que “toda persona criminalmente responsable de un delito o falta lo es también civilmente si del hecho se derivaren daños o perjuicios (...)”. Dicha responsabilidad civil se regula por lo establecido en el Código Penal, por expresa remisión del art. 1.902 del Código Civil: “las obligaciones que nazcan de los delitos o faltas se regirán por las disposiciones del Código Penal”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 Esta última cuestión, es objeto de enjuiciamiento en su caso por los órganos jurisdiccionales con competencia en la materia; lo que no impide que la Entidad denunciada—Partec—tenga que responder de sus obligaciones en materia de LOPD, así como, de las “presuntas” infracciones administrativas en que haya podido incurrir; todo ello sin perjuicio, de las “acciones” estime conveniente ejercitar contra el comercial, que dicho sea de paso no ha sido objeto de denuncia o al menos no consta aportado documento alguno que así lo acredite. Dispone el art. 20.4 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora: “Las resoluciones de los procedimientos sancionadores, además de contener los elementos previstos en el artículo 89.3 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, incluirán la valoración de las pruebas practicadas, y especialmente de aquellas que constituyan los fundamentos básicos de la decisión fijarán los hechos y, en su caso, la persona o personas responsables, la infracción o infracciones cometidas y la sanción o sanciones que se imponen, o bien la declaración de no existencia de infracción o responsabilidad”. En el presente caso, se cumplen las exigencias de los preceptos citados y el principio de congruencia de las resoluciones que deriva de los mismos, pues consta en la presente Resolución el análisis y la valoración de todas y cada una de las alegaciones que la Entidad denunciada—Partec—ha realizado durante el procedimiento sancionador. Ahora bien, debe aclarase que el principio de congruencia obliga a analizar y resolver las cuestiones planteadas lo que no significa estimar per se las alegaciones formuladas por los interesados de modo favorable a éstos o entrar a responder todas las cuestiones que sean esgrimidas. Una Resolución no deja de ser congruente por el hecho de no dar respuesta a todas y cada una de las “alegaciones” aducidas por los interesados para argumentar y apoyar sus pretensiones puesto que no es necesario ofrecer una respuesta explicita y pormenorizada a todas ellas (SSTC 91/1995; 56/1996; 85/1996; 57/1997, 30/1998 ó 136/1998). Finalmente, recordar a la representación legal de la Entidad denunciada— Partec--, que dicho sea de paso no está acreditada- ex art. 32 Ley 30/92—que cualquier “aseveración” frente a la actuación del personal funcionario de esta AEPD está amparada por la protección penal correspondiente: art. 210 LO 10/95; no siendo aconsejable desviar la atención de la defensa de su representado hacia cuestiones “intranscendentes”, debiendo centrar la cuestión en el cumplimiento de la normativa vigente en materia de LOPD, que asumió contractualmente o, en su defecto, asumiendo las consecuencias legales oportunas respecto de cualquier “aseveración” malintencionada. II Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 III El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. IV En el presente caso, se procede a analizar la denuncia con fecha de entrada en esta AEPD 17/08/12 en la que el epigrafiado manifiesta de manera sucinta que: “Me reclaman el pago de facturas sin haber contratado antes sus servicios. He intentado contactar con ellos en repetidas ocasiones para que me aclaren quién dio de alta el contrato que no tengo (…) –folio nº 1--. La Entidad denunciada—Galp—como responsable del fichero (art. 3 LOPD) manifiesta en fecha que: “Estos servicios se prestan con la cobertura de un contrato por escrito firmado por el denunciante, el cual consta en el expediente como documento nº 29”. En fase de instrucción—ex art. 78 Ley 30/92—se procede a constatar que en los sistemas de información de la Entidad denunciada—Galp—consta copia de un contrato, en dónde se activan los siguientes servicios: Gas Natural, Electricidad y otros servicios (ConfortGas y ConfortHogar) asociados al titular de los datos: D: A.A.A., si bien examinadas las firmas y cotejadas con la aportada en la solicitud ante esta AEPD por el denunciante: prima facie las mismas no coinciden de manera palmaria. Item, no consta aportado ningún documento que acredite el consentimiento expreso del afectado (vgr. DNI o documento de naturaleza similar) ni consta acreditado que por la Entidad—Galp—se haya realizado actividad alguna de comprobación de la identidad del titular de los datos en orden a la activación de los servicios “presuntamente” contratados. A mayor abundamiento, el denunciante manifiesta en presencia del órgano Instructor y tras el análisis del contrato aportado “que la firma no es la suya, que ha sido falsificada”; exponiendo copia del DNI estando vigente y en legal forma a día de la fecha. La infracción cuya comisión se atribuye a la entidad denunciada—Galp--consiste en el tratamiento de datos personales del denunciante sin su consentimiento, mediante su incorporación a sus ficheros como titular de los contratos anteriormente mencionados y la emisión de facturas por los distintos consumos de los servicios a cargo de éste. El art. 3
  6. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Pero, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). En el presente caso, el afectado niega en todo momento haber dado consentimiento alguno para el alta de los servicios, que son objeto de facturación por la Entidad denunciada—Galp—“sin haber contratado antes sus servicios” (folio nº 1). Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la más acorde con lo dispuesto no solo en el citado art. 6.1 de la LOPD , sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Existe una consolidada Jurisprudencia de la Audiencia Nacional en casos similares al que nos ocupan: -SAN 10/06/11 “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más la firma del contrato se corresponde con la inquilina de la vivienda”. -SAN 18/03/11 “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de servicios S.A no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos y, ello sin perjuicio de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 responsabilidad en que pueda haber incurrido la distribuidora Avanza respecto de la hoy recurrente”. -SAN 06/10/11 “No ha podido acreditar el cumplimiento de las exigencias mínimas impuestas por la diligencia normal en la contratación telefónica que habrían obligado a conservar y custodiar la documentación personal del cliente (DNI, pasaporte) o haber acreditado alguna actividad posterior a la contratación para verificar la realidad de esta; ni se uso la técnica de la llamada de comprobación ni se cotejó mínimamente la documentación remitida por la Empresa comercializadora exigiendo la entrega de una simple fotocopia del DNI”. Así las cosas, no consta que los datos de carácter personal del denunciante, materializado en la contratación de los servicios referenciados (vgr. Gas natural, electricidad, etc), se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
  7. b)de la LOPD, no habiendo probado nada al respecto la parte actora, y no encontrándonos en ninguno de los supuestos contemplados en el art. 6.2 de la LOPD en los que no es preciso el consentimiento del afectado. Por consiguiente, se ha de concluir que existe culpa o falta de diligencia que se aprecia en el caso de autos, al haberse realizado el tratamiento de los datos personales del denunciante sin su consentimiento, por lo que, considera esta AEPD, que resulta acreditada la infracción atribuida a la Entidad denunciada—Galp Energía--. V En el presente supuesto de hecho, se procede, igualmente, a la apertura de procedimiento sancionador a la Entidad –PARTEC--, por presunta vulneración del principio del consentimiento consagrado en el art. 6.1 LOPD. La Entidad-PARTEC—formalizó un contrato con la Entidad Galp Energía que tenía por objeto: “Es objeto del presente Acuerdo regular los términos y condiciones que van a regir en la prestación por parte del PROVEEDOR de los servicios de promoción comercial y fuerza de ventas de los productos y servicios ofrecidos por Galp Energia (en adelante los “Servcios”). Esta figura se enmarca dentro de la modalidad de contrato de comisión mercantil regulada con carácter general en el art. 244 y ss del Código de Comercio. “Se reputará comisión mercantil el mandato, cuando tenga por objeto un acto u operación de comercio y sea comerciante o agente mediador del comercio el comitente o el comisionista”. Dentro del marco de la Legislación vigente en materia de protección de datos, conviene acotar dos aspectos: Primero, la Entidad—PARTEC- ostenta la condición de encargado del tratamiento—art. 3
  8. g)LOPD—que dispone: “Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. Segundo. Consentimiento. El art. 3
  9. h)de la LOPD—LO 15/1999—dispone que: “Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía—de fecha 15/02/12. A saber: “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. --. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado” La Entidad—Partec—alega en fecha 24/07/13 que: “mi mandante es un prestador de servicios de fuerzas de ventas de Galp Energía España S.A.U, empresa proveedora de los servicios que nos ocupan y responsable última de la gestión de dichos datos”. “Nuestra labor, por lo tanto, se realiza estrictamente bajo la responsabilidad de Galp y según sus instrucciones, asumiendo Partec la condición de encargada del tratamiento (…)”. “La relación que vincula a Partec con el “comercial” es de carácter mercantil (relación entre dos empresarios independientes, según se acredita con la copia del contrato suscrito y en cuya estipulación segunda se indica que “El agente se obliga frente a la Empresa a promover y concluir las operaciones especificadas por la empresa, por cuenta ajena”. La presunción de inocencia recogida en el art. 24.2 CE y 137.1 Ley 30/92, 26 de noviembre, y que la doctrina del Tribunal Constitucional ha considerado aplicable al derecho administrativo sancionador (SSTC 13/1981, 76/1990) implica que la carga de la prueba de los hechos constitutivos de la infracción recaiga sobre la Administración – SSTC 76/1990, 120/1994, 154/1994, 23/1995, 97/1995 y 45/19997—. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 En el presente caso, la Entidad PARTEC no aporta ningún medio de prueba admisible en derecho—ex art. 80 Ley 30/92—que permita desvirtuar que contaba con el consentimiento inequívoco del denunciante a la hora de darle de alta en los servicios de suministro de gas natural, electricidad y servicios ofertado por la Entidad—Galp Energía--. En este sentido, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2011 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia Española de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D…(nombre, apellidos, domicilio), y a la recurrente le incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir,…debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales , o justificar que en el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por tanto, la vulneración del art. 6.1 LOPD por parte de PARTEC se deriva de la falta de consentimiento del denunciante para tratar los datos personales y no acreditar la existencia de consentimiento voluntario e inequívoco a la hora de cambiar de Entidad suministradora de gas, electricidad y servicio de mantenimiento. Cabe recordar, en este sentido, que el titular de los datos es el que tiene el poder de disposición de los mismos—principio del consentimiento—y, asimismo, en esta materia debe operar el derecho a la información en el momento de la recogida de sus datos, siendo también responsable en este caso la Entidad --PARTEC—encargada del tratamiento—de informar al afectado/s a qué usos van a ser sometidos los mismos. Por tanto, la actuación de la Entidad denunciada—Partec—fue manifiestamente negligente pues no desarrollo ninguna medida tendente a constatar que contaba con el consentimiento del afectado, como debería haber realizado una Entidad con el objeto social que desarrollaba (estándar de diligencia objetivo mínimo requerid para una Entidad del Sector). La actuación de los “comerciales” entra dentro de lo que podríamos considerar con “matices” una responsabilidad in vigilando puesto que como encargado del tratamiento debía verificar que la documentación que se le presentaba por los “comerciales” con los que mantenía una relación contractual era conforme a la LOPD: esto es, que contaba con el consentimiento informado del afectado. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo). “…que los administradores incumplieron las obligaciones que se derivan de la LSA (…) no actuando con la diligencia exigible a un ordenado comerciante…no debió aceptar el cargo para el que se le nombraba, o bien renunciar al mismo por falta de contenido material, pues la Legislación es clara sobre las obligaciones que pesan sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 los administradores, las cuales no desaparecen aunque sean otras personas la que llevan la efectiva gestión de la Empresa” –STSJ Asturias 24/05/2006--. Por todo lo expuesto, se considera que la Entidad denunciada— PARTEC- ha incurrido en la infracción descrita, ya que ha vulnerado el citado principio, consagrado en el artículo 6.1 de la LOPD, por tratar los datos de la afectada sin su consentimiento, que encuentran su tipificación en el artículo 44.3b) de la citada Ley Orgánica. VI Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). VII El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Por tanto, no se considera que concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5 de la LOPD. En el presente caso, la Entidad denunciada—Galp—procedió al alta de varios servicios (Gas, electricidad, Confortgas básico y Conforthogar) sin contar con el consentimiento inequívoco del titular de los datos. A mayor abundamiento, no dispone en sus sistemas copia/fotocopia del DNI o NIE del afectado, ni acredita haber realizado actividad alguna de verificación de la identidad del titular de los datos. Contrariamente a lo argumentado por la representación legal de la Entidad denunciada—Galp--, tras efectuarse comprobaciones por el servicio de Inspección de la Subdirección General de Inspección de la AEPD (vgr. Acta de Inspección E/06149/2012) se constata:  El sistema informático de Galp no permite detectar contratos fraudulentos, así como, tampoco un campo que permita identificar datos bloqueados o cancelados.  Galp ha contratado los servicios de dos Entidades externas para resolver las reclamaciones presentadas por sus clientes, pero no se ha firmado ningún contrato por escrito con las mismas. La reacción (carta de disculpas al afectado) está fechada según copia de la misma: 28/06/13; esto es; una vez iniciadas las presentes actuaciones y tras dos actas de Inspección (E/05827/2012) y la mencionada (E/06149/2012) en dónde se vuelve a constatar la deficiente actuación del responsable del fichero en el cumplimiento de la normativa vigente en materia de LOPD. Aporta la Entidad denunciada—Galp—documento de “Pantalla de bloqueo SAP” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25 manifestando que mediante Certificación Notarial de fecha 08/10/13 se acredita a su juicio que los datos del afectado están bloqueados. Sobre este aspecto, señalar que una Certificación Notarial de una pantalla del sistema de información de la Entidad denunciada—Galp--, no acredita fehacientemente los extremos señalados: se limita a plasmar una información sin que concurra acreditación sobre las “medidas” implantadas por una tercera Empresa cualificada en auditoría de LOPD sobre la implementación efectiva de estas en los sistemas de información de Galp. La infracción apreciada consiste en tratar los datos de carácter personal con vulneración del principio del consentimiento consagrado en el artículo 6 de la LOPD, que dispone "1.-El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". Dicha infracción se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, apreciándose en el supuesto de autos una falta de diligencia en la actuación de Galp Energía al no haber realizado las verificaciones oportunas para constatar si la denunciante había prestado realmente su consentimiento para darle de alta en el servicio y tratar en definitiva sus datos personales. El hecho de que el servicio “Electricidad” que fue dado de alta 20/03/12, no llegará a “activarse” es intranscendente desde el punto de vista de la modulación de la sanción: pues se activaron sin su consentimiento los servicios (Gas, ConfortHogar y ConfortGas Básico) emitiéndose facturas con los datos personales del afectado sin contar con su consentimiento. El art. 54 de la Ley 30/92, 26 de noviembre dispone que: “Serán motivados, con sucinta referencia de hechos y fundamentos de derecho:
  20. a)Los actos que limiten derechos subjetivos o intereses legítimos”. A la hora de motivar la sanción a imponer a la Entidad—Galp Energía—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  El carácter continuado de la infracción.—45.4
  21. a)LOPD--.  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. 45. 4
  22. c)LOPD. Galp es una Entidad habituada al trato con los “potenciales” clientes en el suministro de gas, electricidad y otros servicios, que viene a facturar tratando los datos de carácter personal de los afectados.  El volumen de negocios o actividad del infractor. Con carácter ilustrativo, Galp obtuvo de beneficio líquido en el año 2012 unos aproximadamente 359 millones de euros. 45. 4
  23. d)LOPD.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
  24. h)LOPD. Como resumen, de lo expuesto, ha quedado acreditado que la Entidad denunciada—Galp-- no contaba con el “consentimiento inequívoco” del afectado, la firma que consta en el contrato aportado no se corresponde con la del afectado (folio nº 145), el nº de cuenta corriente plasmado en el mismo no está asociado al denunciante (folio nº 146); no se procedió a realizar actividad de verificación alguna (vgr. llama de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 bienvenida, envió de copia del contrato para ser debidamente cumplimentado, adjuntar copia del DNI, etc). La Entidad denunciada—Galp—tiene la naturaleza jurídica de “responsable del fichero” (art. 3
  25. d)LOPD), ha procedido a tratar los datos del afectado mediante la emisión de facturas (folio nº 4 a 8); se trata de una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que debe ser especialmente cuidadosa con dichos tratamientos y, finalmente, a pesar de las reclamaciones del afectado, que constan en los sistemas de información “se recibe carta cliente fecha 24/08/12 solicita baja de todos sus contratos por contrato fraudulento”— folio nº 36—la capacidad de respuesta de la misma fue claramente negligente. Por todo ello se acuerda que se imponga a la Entidad—Galp Energía—una sanción cuya cuantía se cifra en la cantidad de 50.000€. En cuanto a la Entidad denunciada—Partec—“encargada del tratamiento” (art. 3
  26. g)LOPD) ha quedado acreditado durante la instrucción del presente procedimiento, que la misma a través de un comercial “encargado de concluir las operaciones especificadas por la empresa, por cuenta ajena” procedió a dar de alta un contrato de suministro de gas, electricidad y mantenimiento de servicios, sin contar con el consentimiento inequívoco del mismo. No cabe duda que el comercial tiene una serie de obligaciones contractuales “El agente solicitará siempre la confirmación de venta al Cliente con el fin de verificar que ha entendido perfectamente los productos/servicios contratados, así como, el coste o repercusión económica de los mismos”. Por tanto, nos encontramos, con una serie de relaciones contractuales: Galp-Partec y, a su vez, Partec-Comercial teniendo todos que cumplir fielmente con la normativa vigente en materia de protección de datos, a la hora de comprobar y constatar que se cuenta con el consentimiento inequívoco del titular de los datos, con un mayor responsabilidad que duda cabe de las dos Entidades denunciadas en su condición de: responsable del fichero y encargada del tratamiento. Así pues, independientemente de los términos de los contratos suscritos entre sí por las dos empresas afectadas, lo que debe concluirse es que cuando cualquier de ellas lleva a cabo el tratamiento de los datos personales debe garantizar el cumplimiento de las exigencias de consentimiento En el presente caso, el contrato no ha sido firmado por el titular de los datos, no se aporta copia del DNI o documento de naturaleza similar, no se realiza actividad de comprobación alguna, ni por la Entidad responsable del fichero—Galp--, ni por la entidad encargada del tratamiento—Partec— y el nº de cuenta corriente aportado no está vinculado al afectado. Las obligaciones de la Entidad encargada del tratamiento—Partec—estan claramente delimitadas en el Acuerdo entre Galp-Partec de fecha 15/02/12, que procedemos a reproducir: “cumplir todas las obligaciones previstas en la Legislación aplicable y, en particular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 deberá cumplir con las obligaciones previstas en la Legislación vigente sobre protección de Datos de carácter personal (…)”. La actuación de los “comerciales” entra dentro de lo que podríamos considerar con “matices” una responsabilidad in vigilando puesto que como encargado del tratamiento debía verificar que la documentación que se le presentaba por los “comerciales” era conforme a la LOPD: esto es, que contaba con el consentimiento informado del afectado. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo). Por tanto queda acreditado probado que la Entidad-Partec—ha tratado datos de carácter personal sin el consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energia. A tenor de lo expuesto, queda acreditada indubitadamente la comisión de la infracción descrita en el art. 44.3
  27. b)LOPD por parte de la Entidad—Partec Representaciones S.L--. Recuérdese que las sanciones administrativas son imputables no sólo a título de dolo o culpa sino incluso de “mera inobservancia” –art. 131 Ley 30/92 RJ-PAC—y, por tanto, la Empresa Partec Representaciones S.L, no ha podido probar la obtención del consentimiento del afectado, por lo que debe considerarse vulnerado el principio del consentimiento regulado en el art. 6.1 LOPD. El art. 45.5 LOPD establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos (…)”. En concreto, se tiene en cuenta la aplicación del art. 45.5 letra
  28. a)de la LOPD “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer a la Entidad—Partec—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal.—45-4
  29. c)LOPD--.  El volumen de negocios o actividad del infractor.—45.4
  30. d)LOPD--.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.—45.4
  31. h)LOPD--. En el caso de la Entidad denunciada—Partec—la misma ostenta desde el punto de vista de su naturaleza jurídica, la condición de “encargado del tratamiento” (art. 3
  32. g)LOPD; está ha realizado una actividad de mero transmisor de la documentación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 obtenida de los “comerciales” con los datos de carácter personal del afectado/s; el volumen de negocio de la misma es considerablemente inferior a la Entidad— responsable del fichero—(Galp): 3.001€ de capital social desenvolsado; dispone de una menor práctica y conocimiento en la materia de protección de Datos que una gran compañía habituada al tráfico jurídico con datos personales. Por todo ello se acuerda que se imponga a la Entidad denunciada—Partec Representaciones S.L—una sanción que se cifra en la cuantía de 3.000€., sanción que por su cuantía se establece dentro de la escala de las infracciones leves. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GALP ENERGIA ESPAÑA, S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
  33. b)de dicha norma, una multa de 50.000€ (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad PARTEC Representaciones S.L por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
  34. b)de dicha norma, una multa de 3.000€ (tres mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a las Entidades GALP ENERGIA ESPAÑA, S.A.U. y -- PARTEC Representaciones S.L-- y a Don A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.