← España

PS-00442-2013

1/22 Procedimiento Nº PS/00442/2013 RESOLUCIÓN: R/00481/2014 En el procedimiento sancionador PS/00442/2013, instruido por la Agencia Española de Protección de Datos a las entidades GALP ENERGIA ESPAÑA, S.A.U. y PARTEC Representaciones, S.L., vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: D. A.A.A. (en lo sucesivo el denunciante) declara que la Entidad –Galp Energía-- ha dado de alta el suministro de gas a su nombre sin su consentimiento, habiendo recibido en su domicilio facturas y requerimientos de pago. “…me ha dado de alta en un servicio de gas sin yo firmar ningún contrato y sin consentimiento para ello…”—folio nº 1---. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GALP ENERGIA ESPAÑA, S.A.U., teniendo conocimiento de que: En los ficheros de Galp Energía España figura que se han contratado los siguientes productos:  Suministro de gas con fecha de alta 03/05/2012 y baja por cambio de comercializadora en fecha 03/12/2012  Servicios de mantenimiento confortgas y conforthogar con fechas de alta 12/03/2012 y baja 11/03/2013. Los representantes de la entidad aportan copia de un contrato suscrito en fecha 20/02/2012 a nombre de B.B.B.. En la firma que figura se hace constar P.O. (Por orden) Como consecuencia de los servicios prestados se han emitido 8 facturas 5 de ellas anuladas constando en los sistemas de Galp una deuda pendiente de 53,92 €. Las últimas facturas tienen fecha de emisión 30/10/2012. En el registro de contactos y reclamaciones presentadas por el cliente figura:  Con fecha 18/04/2012 el cliente no ha contratado nada con Galp Energía  Con fecha 01/10/2012 el cliente se presenta en el centro para solicitar la baja inmediata de los servicios contratados ya que en ningún momento dio su consentimiento al alta en la compañía. El cliente indica que pasó un comercial C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 por su casa y cogió una factura para mirar datos pero no firmó nada Desde el Centro solicitan la baja en los servicios de mantenimiento y la emisión de facturas con los consumos de gas. Con fecha 21/10/2012 remiten carta con el contrato y lo catalogan como contratación fraudulenta  Con fecha 29/10/2012 se recibe una reclamación de la OMIC del Ayuntamiento de Madrid en la que se alega que en ningún momento ha solicitado cambio de comercializadora. Con fecha 31/10/2012 se remite respuesta en la que se hace contar que el contrato no está firmado por el titular del servicio al figurar P.O. (por orden), indicando que se han anulado los contratos de mantenimiento Confortgas y Conforhogar pero que, conforme normativa del Ministerio de Industria el cliente tiene obligación de abonar los consumos de gas.  Con fecha 09/11/2012 se presenta en el centro indicando que no ha autorizado la contratación con la compañía. Según consta en el sistema de información de la entidad la responsable de la contratación es Partec Representaciones. 1. Según ha quedado acreditado en el Acta de Inspección E/6200/2012 realizada en la entidad Partec Representaciones S.L. (en adelante Partec): 2. La actividad única de la entidad ha sido la comercialización de productos y servicios de Galp Energía, si bien actualmente no tiene ningún tipo de actividad, y la disolución final se producirá cuando finalicen los contenciosos que tienen interpuestos.. 3. El único cliente que ha tenido Partec como empresa ha sido Galp. Comenzó a trabajar con ella en marzo de 2011 mediante contrato verbal. Inicialmente no recibe ninguna instrucción concreta de Galp en cuanto a la forma de proceder para recabar los datos personales incluidos en el contrato, sólo recibe los contratos de Galp en blanco para que los comerciales de Partec los cumplimenten. Siguiendo las instrucciones de Galp recibidas por correo electrónico no se consideraba necesario que el contrato estuviese firmado por el titular del suministro contratado, podía ser firmado por cualquier persona que se encontrase en el domicilio apelando al criterio del comercial (esposa, inquilino, hijo, etc….). En junio de 2012, Partec recibe un nuevo correo electrónico modificando este procedimiento. A partir de ese momento, los comerciales deben recabar los datos personales y firmar el contrato con el titular del servicio y si era inquilino debía aportar copia del DNI y autorización del titular del suministro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 En febrero de 2012 se firma un contrato por escrito donde sí figuran instrucciones concretas. Actualmente el contrato firmado entre ambas empresas se encuentra disuelto desde el 15 de octubre de 2012. 3.1. Partec llegó a tener entre 70 o 75 comerciales con los que tenía firmado un contrato mercantil. A los comerciales se los captaba en la calle y sin recibir ninguna formación concreta sobre los tratamientos de datos personales que debían realizar comenzaban a comercializar los productos y servicios de Galp a puerta fría, sin recibir con antelación ningún dato personal de los potenciales clientes. En marzo de 2012 Galp elabora un código de conducta para los comerciales que remite a Partec y se incluye en el contrato mercantil que firmaban los comerciales que se incorporan a partir de esa fecha. 3.2. Partec entregaba en la sede de Galp en Alcobendas los contratos en papel que le entregaban sus comerciales,. Pasados unos 15 días, Galp abonaba a Partec el importe pactado por la confección de los mismos. Partec no se quedaba con copia de los contratos, únicamente recogía en un documento Excel el listado de los domicilios donde se habían firmado contratos para chequear el correcto pago por parte de Galp. Una vez cobrados los servicios, se destruía el citado documento. Actualmente, guardan copia de los documentos Excel últimos porque están pendientes de cobrar y están en proceso judicial. TERCERO: Con fecha 4 de septiembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las Entidades GALP ENERGIA ESPAÑA, S.A.U., y --PARTEC Representaciones, S.L--., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3

  1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, GALP ENERGIA ESPAÑA, S.A.U., mediante escrito de fecha 07/10/13 formuló alegaciones, significando, que: De la buena fe de la Compañía en el tratamiento de los datos. Alega el denunciante que un comercial pasó por su casa y cogió unas facturas para mirar datos pero no firmó nada. El contrato que obra en poder de Galp no está firmado por el denunciante al tratarse de una firma precedida por la generalmente conocida abreviatura P.O (Por Orden). Este dato no pudo ser adivinado por lo que será necesario que el denunciante, o al estar firmado por Orden, alguien que se encontrase en su vivienda y tuviese acceso a sus datos bancarios, los proporcionase al comercial en cuestión. Sobre Partec Representaciones. En el Acuerdo de prestación de servicios de Fuerzas de Ventas de febrero de 2012 firmado con Partec expresamente se incluyen obligaciones para el proveedor referentes a protección de datos y acreditación de la identidad de posibles clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 Partec debería responder de las infracciones en que hubiera incurrido personalmente., puesto que entre sus obligaciones contractuales está la de recabar el consentimiento para el tratamiento de los datos personales y verificar la identidad de los titulares de los datos mediante exhibición de su DNI y acreditación de la representación. Si el encargado del tratamiento se aparta de las instrucciones que le marca el responsable del fichero no es posible, por tanto, entender su actuación dentro de las funciones de un simple encargado de tratamiento, sino actuando de forma autónoma por su cuenta y riesgo. Será su personal y profesionales autónomos que contrata los que realizan materialmente, las prácticas que nos llevan a hablar de una posible, contratación fraudulenta. De la cancelación de la deuda y de las medidas adoptadas. Actualmente no existe activo ningún contrato a nombre del afectado y todas las facturas han sido anuladas no existiendo ninguna deuda pendiente. Esta información junto con las disculpas de la Compañía por los perjuicios que se le hayan podido ocasionar, ha sido enviada al denunciante mediante burofax de 28 de junio de 2013 y reiterado en fecha 23/09/13, aportando copia del mismo. En cuanto a las medidas adoptadas por la Compañía para evitar situaciones futuras anómalas. Se realizaron 13.000 llamadas a aquellos clientes que negaban haber contratado o discrepaban de la contratación, a fin de ofrecer explicaciones y resolver las quejas; cancelar y reintegra las facturas del servicio. A todas aquellas personas con las que no se pudo contactar por esta vía se les envió una carta para que se pusieran en contacto con Galp. Revisión de todos los contratos con empresas de Task-forces y de la calidad de los servicios y cancelación de relaciones deficientes (…). Por todo ello solicita que se dicte Resolución de Archivo del presente procedimiento y por la que se exonere de toda responsabilidad a la presente Entidad”. QUINTO: La Entidad denunciada—PARTEC Representaciones S.L—en fecha 15/10/13 alega como mejor proceda en Derecho que: Respecto a los hechos que motivan este Expediente, es que la Sociedad—Galp —ha utilizado sus datos personales sin su consentimiento y que le ha dado de alta en el servicio de suministro de gas natural sin que el reclamante firmara ningún contrato (…). De la relación con el comercial. En cuanto al comercial interviniente en la reclamación se trata de Dña. C.C.C.. La relación que vincula a Partec con la misma es de carácter mercantil (relación entre dos Empresarios independientes). La comercial es un tercero independiente a mi representada, resulta vital la convocatoria como parte interesada de la comercial en estas actuaciones, dado que ha sido ella quien ha tenido contacto directo con el reclamante (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 De las condiciones de la reclamación que nos ocupa. El reclamante manifiesta en su reclamación que Galp había realizado la contratación sin su consentimiento, gestionando sin su autorización sus datos personales. En una de las actuaciones captadas en el folio nº 54 del Expediente, el reclamante manifiesta que el comercial pasó por su domicilio y le pidió unas facturas. También manifestó que los datos del nombre y los apellidos no corresponden con los de su DNI. Y aún asumiendo que se le ha estafado como pretende el denunciante ¿es razonable pensar que su primer actuación (ya de por sí 8 meses después del suceso) sea presentarse ante la OMIC por cuestiones de consumo? ¿y reclamar la baja del servicio sin coste…? Pero ¿y la supuesta usurpación de datos que ha sufrido? Por todo ello solicita que se tengan por presentadas las presentes alegaciones en tiempo y forma y se practiquen las pruebas propuestas. SEXTO: Con fecha 30/10/13 se procede a desestimar de manera motivada la solicitud de pruebas de la Entidad denunciada—Partec Representaciones S.L— al ser consideradas innecesarias en orden a responder del cumplimiento de sus obligaciones en materia de LOPD. SÉPTIMO: Con fecha 03/12/13 se inició el período de práctica de pruebas, en dónde por el órgano Instructor se solicita del denunciante la determinación de la titularidad del número de cuenta: ***CCC.1--. OCTAVO: En fecha 09/12/13 se recibe en esta AEPD las alegaciones del denunciante, en dónde aporta a los efectos oportunos: que el nº de cuenta en dónde se cargaban los servicios es ***CCC.2, aportando copia de la documentación expedida por la Entidad financiera: Bankia. NOVENO: Con fecha 17/12/13 se procede en fase probatoria a solicitar a la Entidad financiera—Bankia—aclaración sobre el número de cuenta corriente: ***CCC.1 y cualquier aclaración al respecto. Con fecha 27/12/13 se recibe en esta AEPD contestación de la Entidad financiera Bankia contestando en Derecho al requerimiento de pruebas efectuados por esta Agencia, aportando toda la documentación que estimó necesaria. DÉCIMO. Con fecha 17/12/13 se procede a poner en conocimiento del representante legal de la Entidad—Partec—la existencia de dificultades para procederá efectuar las notificaciones en el domicilio aportado: (C/....................1) (Madrid)--, requiriéndole la colaboración necesaria para que la comunicación de cualquier acto administrativo sea efectiva. UNDÉCIMO. Con fecha 17/12/13 se procede a dar contestación al denominado Recurso de Reposición presentado por la Entidad-Partec—frente a la denegación de pruebas solicitadas, quedando constancia de la oposición del mismo al acto adoptado por el órgano Instructor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 DUODÉCIMO. Con fecha 05/02/13 se procede a emitir en tiempo y forma “propuesta de resolución” en la que a tenor de los hechos analizados y las pruebas aportadas se propone una sanción de 50.000€ a la Entidad denunciada -Galp—y una sanción cifrada en la cuantía de 3.000€ a la Entidad Partec en ambos casos por la infracción del contenido del art. 6.1 LOPD. DECIMOTERCERO. Con fecha 18/02/2014 se recibe en esta AEPD escrito de alegaciones a la “propuesta de Resolución” de la Entidad denunciada—Galp— manifestando como mejor proceda en Derecho lo siguiente: De la responsabilidad de Galp. La Compañía acepta su responsabilidad por la comisión de la infracción imputada en lo relativo al tratamiento de los datos del denunciante proporcionados por Partec. De la cancelación de la deuda y los datos personales del denunciante. No existe ningún contrato a nombre de D. A.A.A. y todas las facturas han sido anuladas no existiendo ninguna deuda pendiente. De la aplicación del principio de proporcionalidad. En relación a la aplicación por parte de la AEPD de los criterios de graduación establecidos en el art. 45.4 LOPD la compañía hace las siguientes consideraciones. -en relación al carácter continuado de la infracción. -en relación con la vinculación de la actividad de la Entidad infractora con la realización de tratamiento de datos (…). -en relación con el volumen de negocios. -en relación con la naturaleza de los perjuicios causados. Considerando que concurren los criterios de los apartados e),
  2. f)y
  3. h)del art. 45.4 LOPD, resultaría de aplicación lo dispuesto en el art. 45. 5
  4. a)de la LOPD en el caso de la compañía. DECIMOCUARTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. En fecha 23/10/12 se recibe en esta AEPD reclamación del afectado en dónde pone de manifiesto que: “…me ha dado de alta en un servicio de gas sin yo firmar ningún contrato y sin consentimiento para ello…”—folio nº 3---. Aporta fotocopia en vigor de su DNI con la firma visible del afectado—folio nº 1--. Segundo. Queda acreditado que en los sistemas de información de la Entidad denunciada—Galp—existe un contrato asociado al denunciante, en el que se plasma en la firma: P.O y una firma, sin identificar. Los campos del contrato relativos a cualquier tipo de autorización, que deberían estar debidamente cumplimentados están en blanco, esto es, sin rellenar: Actúa en nombre y representación, Nombre y apellidos y Mayor de edad con DNI.—folio nº 45 y 46--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 Queda acreditado que de la mera comparación ocular de la firma del afectado plasmada en su DNI (folio nº 1 y 2) y la que se recoge en el contrato (folios nº 45 y 46) aportado por la Entidad denunciada—Galp—las mismas no son coincidentes sin género de dudas. Tras las comprobaciones oportunas el nº de teléfono móvil –***TEL.1— que está plasmado en el contrato no está vinculado al denunciante. Tercero. Queda acreditado que en los sistemas de información de la Entidad denunciada—Galp—asociados al denunciante constan los servicios: Gas, Confortgas y ConfortHogar.  Gas: fecha de alta 03/05/12 y se dio de baja el 03712/12 por cambio de comercializadora.  ConfortGas: fecha de alta 12/03/12 y fecha de baja el 11/03/13.  ConfortHogar: fecha de alta el 12/03/12 y se dio de baja el 11/03/13. Cuarto. Queda acreditado que en los sistemas de información de Galp se recogen las reclamaciones del afectado manifestando que no ha contratado servicio alguno con la misma. “el cliente no ha contratado nada con Galp energía…”fecha 18/04/12—folio nº 54--. “…ya que en ningún momento dio su consentimiento al alta en nuestra compañía. Además, los datos del nombre y apellidos que aparecen no se corresponden con su DNI…”fecha 01/10/12—folio nº 54--. Quinto. La Entidad denunciada—Galp—ha procedido a tratar los datos del afectado mediante la emisión de facturas, que contienen sus datos de carácter personal.  Nº de Factura: ***FACTURA.1. Fecha de emisión: 14/03/12. Total importe: 14,09€.—folio nº 59--.  Nº de Factura: ***FACTURA.2. Fecha de emisión: 13/04/12. Total importe: 13,06€.—folio nº 60--.  Nº de Factura: ***FACTURA.3. Fecha de emisión: 03/07/12. Total importe: 39,78€. --folios n 61 y 62--. Sexto. Existe entre las partes denunciadas—Galp y Partec-- un acuerdo de prestación de servicios de Fuerza de ventas de febrero del año 2012. El comercial interviniente en esta reclamación es Dña. C.C.C., con DNI ***DNI.1, que es quien por encargo de la Empresa--Partec—relación de naturaleza mercantil es el encargado de “concluir las operaciones especificadas por la Empresa, por cuenta ajena”. Séptimo. El conjunto de obligaciones asumidas por D. D.D.D. en nombre y representación de la Entidad---Partec Representaciones S.L—quedan plasmadas en el documento contractual de fecha 15/02/12. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. Octavo. Queda acreditado que el número de cuenta vinculado al denunciante y que está plasmado en el contrato, no se asocia al mismo según prueba/s aportadas por la Entidad financiera—Bankia--. “dicho número de cuenta es erróneo, nuestro sistema no lo detecta como número de cuenta correcto”.—folio nº 190--. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso se procede a examinar la reclamación de fecha 23/10/12 en la que el afectado denuncia de manera sucinta que: “…me ha dado de alta en un servicio de gas sin yo firmar ningún contrato y sin consentimiento para ello…”—folio nº 1---. La única prueba objetiva aportada por la Entidad denunciada—Galp—en el presente caso, es la copia de “contrato” con presunta rúbrica del denunciante.—folios nº 45 y 46--. En fase de instrucción—ex art. 78 Ley 30/92—se procede a cotejar la firma que consta en el DNI del afectado—folio nº 1—y la que está plasmada en el “presunto” contrato aportado por la Entidad—Galp--: de la mera comparación de éstas, se llega a la conclusión de que no son idénticas. A mayor abundamiento, el contrato contiene las siglas P.O (*entendemos que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 Por Orden) si bien los campos específicos del contrato relativos a cualquier tipo de autorización, que deberían estar debidamente cumplimentados están en blanco, esto es, sin rellenar: Actúa en nombre y representación, Nombre y apellidos y Mayor de edad con DNI.—folio nº 45 y 46--. Esta Agencia tiene establecido como criterio en la materia que nos ocupa, que la mera existencia de un contrato firmado no garantizaba plenamente la protección de los datos de carácter personal de los titulares de los mismos; por lo que en aras de una mayor protección y garantía del “consentimiento inequívoco” se requiere la aportación junto con el contrato, de la existencia de fotocopia del D.N.I o documento de naturaleza similar, como diligencia mínima a desplegar por cualquier Entidad a la hora de asegurar la contratación de cualquier servicio. A mayor abundamiento, dicho D.N.I o documento de naturaleza similar deberá ser el del titular de los datos, deberá estar vigente (según fecha impresa en el mismo) en el momento de la contratación del servicio, deberá constar anverso/reverso del mismo y la fotocopia deberá ser nítida, sin manipulación o tachaduras en los datos o en la fotografía del afectado/a. En apoyo de lo argumentado, baste citar los siguientes pronunciamientos de la Audiencia Nacional: - Así la SAN 10/06/2011 en dónde se establece “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permita comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más, la firma de contrato se corresponde con el inquilino de la vivienda”. - También en idénticos términos, la SAN 08/07/12 “No es obligatoria copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, como ya señalamos en la SAN de 27 de abril 2006 (Rec. 54/2005) deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la Entidad recurrente”. - La SAN 13/05/11 esgrime lo siguiente “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de Servcios SA no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos era efectivamente la citada persona y que la misma consintió tal contratación”. Por tanto, en su condición de responsable del fichero y de tratamiento, la Entidad denunciada—Galp—tenía la obligación de asegurarse que contaba con el consentimiento del denunciante para tratar sus datos de carácter personal y a tal fin debió implementar y adoptar las medidas de control y verificación correspondientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 Es cierto que los datos del afectado se los suministro la Entidad—Partec Representaciones S.L—como prestador de servicios de fuerzas de venta, pero como viene afirmado la Audiencia Nacional (vgr. SAN 2848/2011) con independencia de la responsabilidad en que haya podido incurrir dicha empresa al facilitarle los datos de la denunciante sin su consentimiento, no la eximen del cumplimiento de la normativa vigente en materia de protección de datos personales, pues es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios, y la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar (aunque la recogida de datos se haga a través de terceros) y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente es el titular de los datos personales en cuestión. En su condición de responsable del fichero, Galp Energía tenía la obligación de asegurarse que contaba con el consentimiento del denunciante para tratar sus datos de carácter personal y a tal fin debió implementar y adoptar las medidas de control y verificaciones correspondientes. Es necesario traer a colación la SAN 17/05/13 (Recurso 25/ 2010) en dónde se pone de manifiesto lo siguiente: “A mayor abundamiento, además, y como igualmente hemos sostenido en la Sentencia de 13 de abril de 2005 (recurso nº. 241/2003 ) lo que determina la Ley Orgánica 15/1999 en el art. 12.4 que invoca la parte demandante, es que en caso de que el encargado del tratamiento destine los datos a una finalidad distinta a la indicada, los comunique o los utilice incumpliendo las estipulaciones del contrato "...será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente". El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento que incumpla lo estipulado se le atribuya "también" la consideración de responsable del tratamiento. En el mismo sentido se pronuncia nuestra Sentencia de 14 de marzo de 2007 -recurso nº. 280/2005 –“. Cabe señalar que en fase de instrucción se solicita a la Entidad financiera— Bankia—información sobre el número de cuenta corriente que consta en el contrato presentado: ***CCC.1; contestando el Departamento jurídico de la Entidad requerida en fecha 27/12/13 que “dicho número de cuenta es erróneo, nuestro sistema no lo detecta como número de cuenta correcto”. Por todo lo expuesto, se considera que la Entidad denunciada—Galp—ha infringido el contenido del art. 6.1 LOPD, procediendo a tratar sus datos de carácter personal sin contar con el consentimiento del afectado. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 En cuanto a la Entidad denunciada—Partec Representaciones S.L—la misma según se desprende de la documentación aportada “es un prestador de servicio de fuerza de ventas de Galp Energía España S.A.U”. Dentro del marco de la Legislación vigente en materia de protección de datos ocuparía la figura de “encargado del tratamiento”. El art. 3 letra
  6. g)LOPD—LO 15/99—define la figura del encargado del tratamiento de la siguiente manera: “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el caso que nos ocupa, la Entidad Partec a su vez encargo la realización y toma de los datos a un agente comercial: Dña. C.C.C., siendo la relación entre ambos de carácter mercantil. “El agente se obliga a actuar lealmente y de buena fe velando por los intereses de Partec Representaciones S.L por cuya cuenta actúa, en el ejercicio de la actividad encomendada”. Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía—(vgr. aportado en el PS/00183/2013). A saber: “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado”. La Entidad denunciada—Partec—no está en disposición de aportar copia del DNI o documento de naturaleza similar que acredite de forma fehaciente que contaba con el consentimiento inequívoco e informado del titular de los datos. A mayor abundamiento, por parte de la Entidad denunciada—Partec-- no se procede a explicar “cuáles son las funciones de comprobación de la documentación” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 aportada por el comercial, sin que conste acreditado que hubieran adoptado medida alguna para tratar de verificar la identidad y autenticidad de los datos personales plasmados en el “presunto” contrato. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo) sin que corresponda a esta Agencia el análisis de su relación con el comercial correspondiente. “…que los administradores incumplieron las obligaciones que se derivan de la LSA (…) no actuando con la diligencia exigible a un ordenado comerciante…no debió aceptar el cargo para el que se le nombraba, o bien renunciar al mismo por falta de contenido material, pues la Legislación es clara sobre las obligaciones que pesan sobre los administradores, las cuales no desaparecen aunque sean otras personas la que llevan la efectiva gestión de la Empresa” –STSJ Asturias 24/05/2006--. Por tanto queda acreditado que la Entidad-Partec—ha tratado datos de carácter personal sin diligencia en la obtención del consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energía o la posible repercusión a los “comerciales” bajo su dirección organizativa. Adicionalmente, cabe reseñar que la Entidad denunciada –Partec Representaciones S.L —era una empresa (Task Force) cuya principal finalidad era la “captación de nuevos clientes”, para lo cual contaba con una organización jurídicamente creada y a su vez, encargaba la realización de las contrataciones a distintos “comerciales” bajo su supervisión obteniendo con ello una comisión; por todo ello le es exigible una mínima observancia de la normativa vigente en materia de protección de Datos. A tal efecto, la SAN 06/10/11 (Rec nº 342/2010) dictamina que: “Obviamente, la sanción a la empresa recurrente es independiente de la que hubiera podido imponerse a la empresa comercializadora y lo acertado de la sanción impuesta no puede verse empañado por la incoación ó no del expediente sancionador frente a Avanza y ello pues, además, a esta Sala no le consta si se ha seguido ó no expediente sancionador contra esta empresa”. También en el mismo sentido, se trae a colación el siguiente pronunciamiento de la Audiencia Nacional—SAN 02/12/10 (Rec. Nº 670/2009), ante la reiteración en las alegaciones de la Entidad denunciada—Partec—de su total falta de responsabilidad administrativa en la cuestión objeto del presente procedimiento. “Por tanto, el hecho de que la responsable del tratamiento y del fichero sea Endesa Energía y en esa condición tenga la obligación de asegurarse que contaba con el consentimiento de la denunciante para tratar sus datos de carácter personal, no exime a la recurrente como encargada de la captación de nuevos clientes del servicio de suministro eléctrico y de la formalización de la solicitud de suministro de gas natural facilitada por Endesa, de la obligación de realizar un mínimo trabajo de supervisión que, como señala la AEPD, permita detectar y controlar la regularidad de la recogida de datos por parte de sus agentes. Se trata de responsabilidades (la de Endesa Energía e C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 Intecas) no excluyentes sino plenamente compatibles, conforme viene reiterando esta Sala en supuestos similares”. En interpretación del art. 6.1 LOPD, la Audiencia Nacional ha venido manteniendo de forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento de inequívoco. Por todo ello, se considera que ha infringido el contenido del art. 6.1 LOPD y no puede esgrimir un desconocimiento de la normativa vigente en materia de protección de datos. V Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Por tanto, no se considera que concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5 de la LOPD. En el presente caso, la Entidad denunciada—Galp—procedió al alta de varios servicios (Gas, Confortgas y Conforthogar) sin contar con el consentimiento inequívoco del titular de los datos. A mayor abundamiento, no dispone en sus sistemas copia/fotocopia del DNI o NIE del afectado, ni acredita haber realizado actividad alguna de verificación de la identidad del titular de los datos. La infracción apreciada consiste en tratar los datos de carácter personal con vulneración del principio del consentimiento consagrado en el artículo 6 de la LOPD, que dispone "1.-El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". Dicha infracción se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, apreciándose en el supuesto de autos una falta de diligencia en la actuación de Galp Energía al no haber realizado las verificaciones oportunas para constatar si la denunciante había prestado realmente su consentimiento para darle de alta en el servicio y tratar en definitiva sus datos personales. El art. 54 de la Ley 30/92, 26 de noviembre dispone que: “Serán motivados, con sucinta referencia de hechos y fundamentos de derecho:
  17. a)Los actos que limiten derechos subjetivos o intereses legítimos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 A la hora de motivar la sanción a imponer a la Entidad—Galp Energía—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  El carácter continuado de la infracción.—45.4 a LOPD--.  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. 45. 4
  18. c)LOPD. Galp es una Entidad habituada al trato con los “potenciales” clientes en el suministro de gas, electricidad y otros servicios, que viene a facturar tratando los datos de carácter personal de los afectados.  El volumen de negocios o actividad del infractor. Con carácter ilustrativo, Galp obtuvo de beneficio líquido en el año 2012 unos aproximadamente 359 millones de euros y en el primer semestre del año 2013 unos aproximadamente 169 millones de benficio 45. 4
  19. d)LOPD.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
  20. h)LOPD. No procede la aplicación del art. 45.5
  21. d)LOPD solicitada por la Entidad denunciada— Galp—pues el “reconocimiento de la responsabilidad” se produce en las alegaciones a la “propuesta de Resolución”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 La posibilidad prevista en el artículo 45.5 no es sino consecuencia del valor justicia que informa nuestro Ordenamiento Jurídico -art. 1 CE, en relación con las STC 50/1995 y 173/1995 -, siendo plasmación de tal principio en casos de cualificada disminución de la culpa o de la antijuridicidad. El momento procedimental oportuno para el “reconocimiento voluntario” de la responsabilidad según criterio reiterado de esta Agencia es con ocasión de las alegaciones al Acuerdo de Inicio o con anterioridad al mismo, esto es, cuando la Entidad denunciada ha tenido conocimiento de los “hechos” que se le imputan, se le notifica la presunta infracción cometida y las consecuencias legales en caso de resultar sancionada. Para que el reconocimiento de la culpabilidad pueda ser calificado de espontaneo, como exige el artículo 45.5.d), debería haberse efectuado antes del trámite de alegaciones a la propuesta de resolución. Debe recordarse que en la notificación del Acuerdo de Inicio del Director de la AEPD vinculado al PS/00442/2013 se le otorgaba “la posibilidad de reconocer voluntariamente su responsabilidad”, sin que tal reconocimiento se produjese en tiempo y forma por la hoy Entidad recurrente. La “espontaneidad” se ve desvirtuada cuando ha tenido lugar toda la tramitación de un procedimiento en dónde la parte recurrente ha podido esgrimir en Derecho lo que ha estimado oportuno y ha podido aportar los medios de prueba que en Derecho ha considerado necesarios: sobre la base de la negación de los “hechos” objeto de enjuiciamiento administrativo. Por los motivos expuestos, no procede aplicar el art.45.5 letra
  22. d)LOPD, dado que el reconocimiento “espontaneo” de la responsabilidad se realiza en un momento procedimental, que no permite la aplicación del mismo: Alegaciones a la propuesta de Resolución. Como resumen, de lo expuesto, ha quedado acreditado que la Entidad denunciada—Galp-- no contaba con el “consentimiento inequívoco” del afectado, la firma que consta en el contrato aportado no se corresponde con la del afectado (folio nº 1 en conexión con los folios 45 y 46), el nº de cuenta corriente plasmado en el mismo no está asociado al denunciante (folios nº 190 y 191); no se procedió a realizar actividad de verificación alguna (vgr. llama de bienvenida, envió de copia del contrato para ser debidamente cumplimentado, adjuntar copia del DNI, etc). La Entidad denunciada—Galp—tiene la naturaleza jurídica de “responsable del fichero” (art. 3
  23. d)LOPD), ha procedido a tratar los datos del afectado mediante la emisión de facturas (folio nº 4 a 8); se trata de una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que debe ser especialmente cuidadosa con dichos tratamientos y, finalmente, a pesar de las reclamaciones del afectado, que constan en los sistemas de información “se recibe carta cliente fecha 24/08/12 solicita baja de todos sus contratos por contrato fraudulento”— folio nº 36—la capacidad de respuesta de la misma fue claramente negligente. Por todo ello se acuerda imponer a la Entidad—Galp Energía—una sanción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 cuya cuantía se cifra en la cantidad de 50.000€. En cuanto a la Entidad denunciada—Partec—“encargada del tratamiento” (art. 3
  24. g)LOPD) ha quedado acreditado durante la instrucción del presente procedimiento, que la misma a través de un comercial “encargado de concluir las operaciones especificadas por la empresa, por cuenta ajena” procedió a dar de alta un contrato de suministro de gas, electricidad y mantenimiento de servicios, sin contar con el consentimiento inequívoco del mismo. No cabe duda que el comercial tiene una serie de obligaciones contractuales “El agente solicitará siempre la confirmación de venta al Cliente con el fin de verificar que ha entendido perfectamente los productos/servicios contratados, así como, el coste o repercusión económica de los mismos”. Por tanto, nos encontramos, con una serie de relaciones contractuales: Galp-Partec y, a su vez, Partec-Comercial teniendo todos que cumplir fielmente con la normativa vigente en materia de protección de datos, a la hora de comprobar y constatar que se cuenta con el consentimiento inequívoco del titular de los datos, con un mayor responsabilidad que duda cabe de las dos Entidades denunciadas en su condición de: responsable del fichero y encargada del tratamiento. Así pues, independientemente de los términos de los contratos suscritos entre sí por las dos empresas afectadas, lo que debe concluirse es que cuando cualquier de ellas lleva a cabo el tratamiento de los datos personales debe garantizar el cumplimiento de las exigencias de consentimiento En el presente caso, el contrato no ha sido firmado por el titular de los datos, no se aporta copia del DNI o documento de naturaleza similar, no se realiza actividad de comprobación alguna, ni por la Entidad responsable del fichero—Galp--, ni por la entidad encargada del tratamiento—Partec— y el nº de cuenta corriente aportado no está vinculado al afectado—folios nº 190 y 191--. Las obligaciones de la Entidad encargada del tratamiento—Partec—están claramente delimitadas en el Acuerdo entre Galp-Partec de fecha 15/02/12, que procedemos a reproducir: “cumplir todas las obligaciones previstas en la Legislación aplicable y, en particular deberá cumplir con las obligaciones previstas en la Legislación vigente sobre protección de Datos de carácter personal (…)”. La actuación de los “comerciales” entra dentro de lo que podríamos considerar con “matices” una responsabilidad in vigilando puesto que como encargado del tratamiento debía verificar que la documentación que se le presentaba por los “comerciales” era conforme a la LOPD: esto es, que contaba con el consentimiento informado del afectado. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 Por tanto queda acreditado probado que la Entidad-Partec—ha tratado datos de carácter personal sin el consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energia. A tenor de lo expuesto, queda acreditada indubitadamente la comisión de la infracción descrita en el art. 44.3
  25. b)LOPD por parte de la Entidad—Partec Representaciones S.L--. Recuérdese que las sanciones administrativas son imputables no sólo a título de dolo o culpa sino incluso de “mera inobservancia” –art. 131 Ley 30/92 RJ-PAC—y, por tanto, la Empresa Partec Representaciones S.L, no ha podido probar la obtención del consentimiento del afectado, por lo que debe considerarse vulnerado el principio del consentimiento regulado en el art. 6.1 LOPD. El art. 45.5 LOPD establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos (…)”. En concreto, se tiene en cuenta la aplicación del art. 45.5 letra
  26. a)de la LOPD “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer a la Entidad—Partec—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal.—45-4
  27. c)LOPD--.  El volumen de negocios o actividad del infractor.—45.4
  28. d)LOPD--.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.—45.4
  29. h)LOPD--. En el presente caso, la Entidad denunciada—Partec—tenía como objeto social “la comercialización de productos y servicios por cuenta de terceros” para lo que necesitaba obtener los datos de los potenciales clientes; siendo los daños y perjuicios al denunciante “evidentes” en cuanto al tiempo de reclamaciones, como los perjuicios por alta de productos sin su consentimiento. En el caso de la Entidad denunciada—Partec—la misma ostenta desde el punto de vista de su naturaleza jurídica, la condición de “encargado del tratamiento” (art. 3
  30. g)LOPD; está ha realizado una actividad de mero transmisor de la documentación obtenida de los “comerciales” con los datos de carácter personal del afectado/s; el volumen de negocio de la misma es considerablemente inferior a la Entidad— responsable del fichero—(Galp): 3.006€ de capital social desembolsado; dispone de una menor práctica y conocimiento en la materia de protección de Datos que una gran compañía habituada al tráfico jurídico con datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 Por todo ello se acuerda imponer a la Entidad denunciada—Partec Representaciones S.L—una sanción que se cifra en la cuantía de 3.000€., sanción que por su cuantía se establece dentro de la escala de las infracciones leves. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GALP ENERGIA ESPAÑA, S.A.U por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
  31. b)de dicha norma, una multa de 50.000€ cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad PARTEC Representaciones S.L por una infracción del artículo "6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
  32. b)de dicha norma, una multa de 3.000€ (tres mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a las Entidades --GALP ENERGIA ESPAÑA, S.A.U--., y PARTEC Representaciones, S.L. y a Don A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.