PS-00472-2014

1/12 Procedimiento Nº PS/00472/2014 RESOLUCIÓN: R/02280/2014 En el procedimiento sancionador PS/00472/2014, instruido por la Agencia Española de Protección de Datos a la entidad GALP Energía España SAU, vista la denuncia presentada por Doña A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/09/13 se recibe en esta AEPD escrito de la denunciante frente a la entidad—Galp—en dónde pone de manifiesto que “no tiene contrato con ellos, que no tienen autorización mía para facturarme”—folio nº 2--. Adjunto a la denuncia se ha aportado, entre otra documentación, las mencionadas facturas emitidas por GALP, reclamación de la denunciante ante la OMIC del Ayuntamiento de Madrid y copia del contrato suscrito con IBERDROLA de fecha 8 de agosto de 2011. SEGUNDO: Con fecha 04/09/14 se formuló Acuerdo de Inicio por parte del Director de la AEPD, frente a la Entidad denunciada GALP Energía España SAU, por la comisión de una presunta infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3

1. b)de dicha Ley. TERCERO: Con fecha 01/10/14—octubre 2014--, la Entidad denunciada GALP Energía España SAU realizó alegaciones frente al citado Acuerdo de Inicio en la que comunica de manera sucinta lo siguiente: “Infracción imputada. Que la infracción del art. 6.1 LOPD se ha producido como consecuencia del tratamiento de los datos de la denunciante sin disponer de su consentimiento inequívoco. Tratamiento de los datos de la denunciante. La incorporación de los datos de la denunciante en los sistemas de Galp se produjo como consecuencia de la aportación del contrato de suministro de gas y electricidad y servicio Confortgas en el que se encontraban incorporados los datos de la denunciante proporcionados por la Entidad Partec Representaciones S.L. Cancelación de la deuda y de los datos personales de la denunciante. Es de señalar que Galp dentro de su campaña de revisión de la contratación, ha procedido a dar de baja de los servicios que presuntamente había contratado a la denunciante con apariencia de legalidad por parte de Partec Representaciones S.L. Asimismo, ha procedido a cancelar sus datos personales transmitidos a la base de datos de Galp (…) Reconocimiento voluntario de la responsabilidad. El Acuerdo de Inicio notificado establece la posibilidad de reconocer voluntariamente la responsabilidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Galp en la comisión de la infracción imputada, a los efectos previstos en el art. 8.2 RD 1398/1993 y del establecimiento de la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso de acuerdo con lo previsto en el art. 45.5
2. d)de la LOPD. Galp se viene a reconocer el tratamiento inconsentido de los datos de la denunciante en el presente procedimiento, aunque ello no supone el reconocimiento de la comisión material de la actuación presuntamente fraudulenta que habría sido llevada a cabo por Partec Representaciones S.L, respecto de la cual Galp, defenderá sus intereses en las instancias jurisdiccionales competentes. Por todo ello SOLICITA, que teniendo por presentado el presente escrito se estimen las manifestaciones vertidas, en nombre de mi representada de reconocimiento de la responsabilidad (…)”. HECHOS PROBADOS PRIMERO: Con fecha 23/09/13 se recibe en esta AEPD escrito de la denunciante frente a la entidad—Galp—en dónde pone de manifiesto que “no tiene contrato con ellos, que no tienen autorización mía para facturarme”—folio nº 2--. SEGUNDO: Queda acreditado que en los sistemas de información de la Entidad denunciada—Galp—existe un contrato, si bien el mismo no está acompañado de la copia del DNI de la afectada o documento de naturaleza similar (folios nº 42 y 43), ni coincide prima facie de la mera comparación ocular la firma (trazado y forma de letras) con la firma autentica de la afectada (folio nº 2). TERCERO: El alta del servicio del Gas se realizó en fecha 11/12/12 y la fecha de baja el 04/07/13 por cambio de titular (folio nº 39). CUARTO: La Entidad denunciada—Galp—ha procedido a tratar los datos de la afectada mediante la emisión de facturas. En concreto consta acreditado la emisión de las siguientes facturas:      ***FACTURA.1. ***FACTURA.2. ***FACTURA.3. ***FACTURA.4. ***FACTURA.5. Asimismo, se ha procedido a emitir facturas rectificativas de abono a favor de la cliente (***FACTURA.6) y (***FACTURA.7). QUINTO: Consta acreditado que en los sistemas de información de la Entidad denunciada—Galp—la afectada procedió a reclamar con relación a los hechos objeto del presente Expediente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 “Contratación fraudulenta. Solicita copia del contrato”. Fecha 24/05/13. (folio nº 74). “Indica que no ha realizado ninguna contratación. La distribuidora le indica que está desde diciembre del año 2012 con nosotros. No se le ha facturado” Fecha 24/05/13 (folio nº 75). “No ha dado su autorización. Además las facturas le llegan a OM3. Solicita el contrato con Galp a nombre de Doña A.A.A.” (folio nº 75). SEXTO: Queda acreditado que la Entidad-Galp—ha procedido al bloqueo de los datos de carácter personal de la afectada aportando pantalla acreditativa de tal extremo de fecha 27/12/13—diciembre del año 2013--. SÉPTIMO: La Entidad encargada de la formalización y prestación del servicio de ventas es la Entidad—Partec Representaciones S.L- ; esta encargó a su vez a comerciales bajo su labor de dirección y organización: la labor de “promover y concluir la operación comercial”. Queda acreditado que la Entidad denunciada—Partec—no aporta copia del DNI o documento de naturaleza similar del afectado, que acredite que contaba con el consentimiento inequívoco del afectado. Tampoco ha desplegado actividad diligente tendente alguna a identificar a la persona titular de los datos. Entre las obligaciones de la Entidad denunciada—Partec—se encuentran según se desprende de la documentación contractual aportada las siguientes: “El Proveedor (Partec) deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo, y en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente en materia de protección de datos de carácter personal y sobre protección de los consumidores y usuarios”. “El Proveedor realizará el tratamiento necesario para la prestación de los servicios conforme a las obligaciones que se derivan de la LOPD, entre otras, las obligaciones de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al Proveedor”. “Las obligaciones establecidas para el Proveedor en la presente clausula serán también exigibles a sus empleados, colaboradores, tanto externos como internos y subcontratistas…”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso, se procede a examinar la reclamación de fecha de entrada en esta AEPD—23/09/13—en dónde la epigrafiada denuncia de manera sucinta los siguientes hechos: “Que no tiene relación contractual con la Entidad Galp, no teniendo autorización de la misma para facturarla”—folios nº 2--. La Entidad denunciada—Galp—como responsable del fichero (art. 3 LOPD) manifiesta que: “Estos servicios se prestan con la cobertura de un contrato por escrito firmado por la denunciante, el cual consta en el expediente como documento nº 42, 43 y 44”. En fase de instrucción—ex art. 78 Ley 30/92—se procede a constatar que en los sistemas de información de la Entidad denunciada—Galp—consta copia de un contrato, en dónde se activan los siguientes servicios: Gas Natural, Electricidad y otros servicios (ConfortGas) cotejadas las firmas con la aportada en la solicitud ante esta AEPD por la denunciante: prima facie las mismas no coinciden de manera palmaria. Item, no consta aportado ningún documento que acredite el consentimiento expreso de la afectada (vgr. DNI o documento de naturaleza similar) ni consta acreditado que por la Entidad—Galp—se haya realizado actividad alguna de comprobación de la identidad del titular de los datos en orden a la activación de los servicios “presuntamente” contratados. La infracción cuya comisión se atribuye a la entidad denunciada—Galp--consiste en el tratamiento de datos personales del denunciante sin su consentimiento, mediante su incorporación a sus ficheros como titular de los contratos anteriormente mencionados y la emisión de facturas por los distintos consumos de los servicios a cargo de éste. El art. 3
4. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Pero, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). En el presente caso, el afectado niega en todo momento haber dado consentimiento alguno para el alta de los servicios, que son objeto de facturación por la Entidad denunciada—Galp—“no tengo contrato con ellos, no tienen autorización para facturarme” (folio nº 2). Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la más acorde con lo dispuesto no solo en el citado art. 6.1 de la LOPD , sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Existe una consolidada Jurisprudencia de la Audiencia Nacional en casos similares al que nos ocupan: -SAN 10/06/11 “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más la firma del contrato se corresponde con la inquilina de la vivienda”. -SAN 18/03/11 “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de servicios S.A no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos y, ello sin perjuicio de la responsabilidad en que pueda haber incurrido la distribuidora Avanza respecto de la hoy recurrente”. -SAN 06/10/11 “No ha podido acreditar el cumplimiento de las exigencias mínimas impuestas por la diligencia normal en la contratación telefónica que habrían C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 obligado a conservar y custodiar la documentación personal del cliente (DNI, pasaporte) o haber acreditado alguna actividad posterior a la contratación para verificar la realidad de esta; ni se uso la técnica de la llamada de comprobación ni se cotejó mínimamente la documentación remitida por la Empresa comercializadora exigiendo la entrega de una simple fotocopia del DNI”. Así las cosas, no consta que los datos de carácter personal del denunciante, materializado en la contratación de los servicios referenciados (vgr. Gas natural, electricidad, etc), se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
5. b)de la LOPD, no habiendo probado nada al respecto la parte actora, y no encontrándonos en ninguno de los supuestos contemplados en el art. 6.2 de la LOPD en los que no es preciso el consentimiento del afectado. Por consiguiente, se ha de concluir que existe culpa o falta de diligencia que se aprecia en el caso de autos, al haberse realizado el tratamiento de los datos personales del denunciante sin su consentimiento, por lo que, considera esta AEPD, que resulta acreditada la infracción atribuida a la Entidad denunciada—Galp Energía--. IV Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD". V El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “..no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales de la denunciante El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. En el presente caso, la Entidad denunciada—Galp-- de forma voluntaria procede en sus escrito de alegaciones al Acuerdo de Inicio el Director de esta AEPD a “reconocer la responsabilidad en los términos previstos en el art. 8 RD 1398/1993…”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 Por tal motivo se tiene en cuenta la aplicación del art. 45.5
16. d)LOPD que permite graduar la sanción en la escala anterior a la que le hubiera correspondido en el caso de: “Cuando el infractor haya reconocido espontáneamente su culpabilidad” El art. 8 apartado 1º del RD 1398/1993, 4 de agosto dispone que Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”. La infracción apreciada consiste en tratar los datos de carácter personal con vulneración del principio del consentimiento consagrado en el artículo 6 de la LOPD, que dispone "1.-El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". Dicha infracción se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, apreciándose en el supuesto de autos una falta de diligencia en la actuación de Galp Energía al no haber realizado las verificaciones oportunas para constatar si la denunciante había prestado realmente su consentimiento para darle de alta en el servicio y tratar en definitiva sus datos personales. El art. 54 de la Ley 30/92, 26 de noviembre dispone que: “Serán motivados, con sucinta referencia de hechos y fundamentos de derecho:
17. a)Los actos que limiten derechos subjetivos o intereses legítimos”. A la hora de motivar la sanción a imponer a la Entidad—Galp Energía—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. 45. 4
18. c)LOPD. Galp es una Entidad habituada al trato con los “potenciales” clientes en el suministro de gas, electricidad y otros servicios, que viene a facturar tratando los datos de carácter personal de los afectados.  El volumen de negocios o actividad del infractor. Con carácter ilustrativo, Galp obtuvo de beneficio líquido en el año 2013 unos aproximadamente 359 millones de euros. 45. 4
19. d)LOPD.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
20. h)LOPD. La Entidad denunciada—Galp—tiene la naturaleza jurídica de “responsable del fichero” (art. 3
21. d)LOPD), ha procedido a tratar los datos del afectado mediante la emisión de facturas por servicios no contratados por el afectado (folios nº 59 a 66); se trata de una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que debe ser especialmente cuidadosa con dichos tratamientos y, finalmente, a pesar de las reclamaciones de la afectada, que constan en los sistemas de información “indica que no ha realizado ninguna contratación” (folio nº 75)—la capacidad de respuesta de la misma fue claramente negligente. Cabe indicar que en los sistemas de información de Galp consta como primera reclamación de la afectada—24/05/13 (folio nº 74)—no procediendo a efectuar el bloqueo de los datos según pantalla adjuntada hasta 27/12/13: esto es, 7 meses después de la puesta en conocimiento de la incidencia y tras la iniciación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 correspondiente procedimiento sancionador por esta AEPD. La ulterior emisión de facturas de carácter rectificativo por parte de Galp no supone una reacción diligente a efectos de considerarlo como criterio de atenuación, pero se tiene en cuenta a la hora de modular la cuantía de la sanción para no agravar la misma. Por último cuestión similar a la que nos ocupa ha sido resuelta por la Audiencia Nacional—SAN 745/2014 (Rec. nº 77/2013)-- “También justifica adecuadamente la AEPD la distinta cuantía de las multas impuestas a la hoy recurrente y a la subcontratista, en que las actuaciones de ambas empresas no son las mismas. Así, argumenta que la actuación de NEC comienza con la entrega de datos personales a Contec sin tener el consentimiento de los denunciantes, o al menos no se ha acreditado; no ha demostrado diligencia alguna para controlar o verificar el dato incorporado por Contec antes de iniciar el tratamiento de datos para el cambio de comercializadora y la incorporación al fichero de clientes y la emisión de facturas, para el que no tenía consentimiento, no habiéndose acreditado diligencia alguna en todo ese tramo para evitar el hecho infractor; que la diligencia valorada para aplicar el artículo 45.5 LOPD es posterior a la infracción y a las reclamaciones del denunciante. Considera, en definitiva acertadamente, la resolución impugnada que la actividad de NEC como responsable del fichero y el tratamiento de los datos personales durante seis meses es mucho más compleja que la desarrollada por Contec y no puede ser equiparada a la hora de graduar la sanción”. En igual sentido se ha pronunciado la Audiencia Nacional en las sentencias de 7 de febrero de 2014, Rec. 77/2013, de 15 de abril de 2014, Rec. 123/2013, y de 20 de mayo de 2014, Rec. 213/2013. Por todo ello se estima acertado imponer una multa cuyo importe se encuentre entre 900€ y 40.000€, en aplicación de lo previsto en el apartado 2 del citado artículo 45 LOPD, al tener la infracción imputada la consideración de grave. En el presente caso, una vez analizadas las alegaciones y pruebas practicadas, tomando en consideración los criterios de graduación de las sanciones establecidos en el art. 45.4 LOPD, y en particular, los criterios de graduación de la sanción anteriormente expuestos se acuerda imponer una multa cifrada en la cuantía de 20.000€, sanción de carácter medio dentro de la escala de las infracciones leves. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GALP Energía España SAU, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
22. b)de dicha norma, una multa de 20.000€ (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la Entidad GALP Energía España SAU y a Doña A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es