PS-00555-2013

1/10 Procedimiento Nº PS/00555/2013 RESOLUCIÓN: R/00773/2014 En el procedimiento sancionador PS/00555/2013, instruido por la Agencia Española de Protección de Datos a la entidad --GALP MADRILEÑA DE GAS-- y PARTEC REPRESENTACIONES S.L, vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: D. A.A.A. (en lo sucesivo el denunciante) declara haber recibido en su domicilio facturas emitidas por Galp Energía España S.L. en las que figuran sus datos personales, sin que haya suscrito ningún contrato con la entidad. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GALP MADRILEÑA DE GAS, teniendo conocimiento de que: En el sistema de información de Galp figura que a nombre del afectado se han contratado los siguientes productos:  Servicios de mantenimiento Confortgas y Conforthogar con fechas de alta y baja 20/01/2012 y 19/04/2012 respectivamente.  Suministro de gas con fecha de alta 03/05/2012 y baja por cambio de comercializadora en fecha 11/07/2012 En el sistema de facturación figura que se han emitido un total de 8 facturas, de ellas 5 han sido anuladas y dos compensadas en fechas 18/07/2012 y 29/01/2013. En la actualidad consta una deuda de 1,10 € con la entidad. En el sistema de contactos y reclamaciones presentados por el cliente figura:  Con fecha 30/03/2012 y 21/07/2012 indica su disconformidad con la contratación de servicios con la entidad y con el tratamiento por parte de ésta de sus datos personales sin su consentimiento.  Con fecha 02/04/2012 se recibe un correo electrónico en el que el afectado hace constar que ha recibido una factura en su domicilio y que no ha formalizado ningún contrato con la entidad. Con fecha 03/04/2012 se cursa baja en vigencia de los servicios de mantenimiento Confortgas y Conforthogar para futuras renovaciones, siendo el fin de ambos servicios el 19/04/2012. Se deja pendiente la rectificación de las facturas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10  Con fecha 03/07/2012 le vuelven a facturar el consumo de gas y el afectado indica nuevamente que no ha contratado el suministro. Llama por este motivo nuevamente el 09/07/2012 y el 23/07/2012.  Con fecha 31/07/2012 se recibe escrito del cliente solicitando la baja ya que no ha realizado ningún contrato con la entidad. Le responden en fecha 01/08/2012 informándole que los servicios de mantenimiento se encuentran de baja y el suministro de gas ha cambiado de comercializadora a petición del cliente, además no figura ninguna deuda con la entidad. Según figura en el sistema de información, la fuerza de ventas responsable de la contratación es Partec Representaciones Según ha quedado acreditado en el Acta de Inspección E/6200/2012 realizada en la entidad Partec Representaciones S.L. (en adelante Partec): La actividad única de la entidad ha sido la comercialización de productos y servicios de Galp Energía, si bien actualmente no tiene ningún tipo de actividad, y la disolución final se producirá cuando finalicen los contenciosos que tienen interpuestos.. El único cliente que ha tenido Partec como empresa ha sido Galp. Comenzó a trabajar con ella en marzo de 2011 mediante contrato verbal. Inicialmente no recibe ninguna instrucción concreta de Galp en cuanto a la forma de proceder para recabar los datos personales incluidos en el contrato, sólo recibe los contratos de Galp en blanco para que los comerciales de Partec los cumplimenten. Siguiendo las instrucciones de Galp recibidas por correo electrónico no se consideraba necesario que el contrato estuviese firmado por el titular del suministro contratado, podía ser firmado por cualquier persona que se encontrase en el domicilio apelando al criterio del comercial (esposa, inquilino, hijo, etc….). En junio de 2012, Partec recibe un nuevo correo electrónico modificando este procedimiento. A partir de ese momento, los comerciales deben recabar los datos personales y firmar el contrato con el titular del servicio y si era inquilino debía aportar copia del DNI y autorización del titular del suministro En febrero de 2012 se firma un contrato por escrito donde sí figuran instrucciones concretas. Actualmente el contrato firmado entre ambas empresas se encuentra disuelto desde el 15 de octubre de 2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 1.1. Partec llegó a tener entre 70 o 75 comerciales con los que tenía firmado un contrato mercantil. A los comerciales se los captaba en la calle y sin recibir ninguna formación concreta sobre los tratamientos de datos personales que debían realizar comenzaban a comercializar los productos y servicios de Galp a puerta fría, sin recibir con antelación ningún dato personal de los potenciales clientes. En marzo de 2012 Galp elabora un código de conducta para los comerciales que remite a Partec y se incluye en el contrato mercantil que firmaban los comerciales que se incorporan a partir de esa fecha. 1.2. Partec entregaba en la sede de Galp en Alcobendas los contratos en papel que le entregaban sus comerciales,. Pasados unos 15 días, Galp abonaba a Partec el importe pactado por la confección de los mismos. Partec no se quedaba con copia de los contratos, únicamente recogía en un documento Excel el listado de los domicilios donde se habían firmado contratos para chequear el correcto pago por parte de Galp. Una vez cobrados los servicios, se destruía el citado documento. Actualmente, guardan copia de los documentos Excel últimos porque están pendientes de cobrar y están en proceso judicial TERCERO: Con fecha 22 de octubre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las Entidades GALP MADRILEÑA DE GAS y PARTEC REPRESENTACIONES S.L , por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3

1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de40.0001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad --GALP MADRILEÑA DE GAS,-mediante escrito de fecha 22/11/13 formuló alegaciones, significando de manera sucinta lo siguiente en relación con los “hechos” objeto de denuncia: De las circunstancias en que se produjo la contratación. Que Galp contrató con Partec la prestación de servicios de promoción comercial y fuerza de ventas de los productos y servicios ofrecidos por Galp. La promoción comercial se debía realizar a través del sistema de puerta abierta. Partec en nombre de Galp fue quien realizó materialmente la captación de los datos del denunciante. Galp quiere poner de manifiesto que Partec, en ningún caso, tenía autorización para contratar sin obtener previamente el consentimiento de los clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 De la cancelación de la deuda y de los datos personales del denunciante. Actualmente no existe activo ningún contrato a nombre del denunciante, no existiendo ninguna deuda pendiente. Esta información junto con las disculpas de Galp por los perjuicios que se le hayan podido ocasionar, han sido enviados al denunciante mediante burofax de 28 de junio de 2013. Se aporta copia del mismo como Doc. nº 1, incluyendo certificación de entrega al día siguiente. Del reconocimiento voluntario de la responsabilidad. Que el Acuerdo de Inicio notificado otorga la posibilidad de reconocer voluntariamente la responsabilidad de Galp en la comisión de la infracción imputada, a los efectos previstos en el art. 8.2 RD 1398/1993, 4 de agosto (…). Galp acepta su responsabilidad por la comisión de la infracción imputada por esta AEPD en lo relativo al tratamiento de datos contenidos en el contrato aportado por Partec, sin disponer del consentimiento del titular de los datos. De la reserva de Galp. Sin perjuicio del reconocimiento de la comisión de la infracción en materia de LOPD, ello no supone el reconocimiento de la comisión material de la actuación fraudulenta llevada a cabo por Partec, respecto de lo cual, defenderá sus intereses en las instancias jurisdiccionales competentes. QUINTO. Con fecha 22/11/13 se recibe en esta AEPD escrito de alegaciones de la Entidad denunciada—PARTEC Representaciones S.L—en dónde pone de manifiesto lo siguiente en relación con los hechos” objeto de denuncia: De la caducidad de las actuaciones. La denuncia que motiva estas actuaciones fue presentada por el denunciante con fecha 17/04/2012. Como ya ha quedado dicho,, ha sido notificado el Acuerdo de Inicio del procedimiento sancionador con fecha 04/11/2013, es decir, transcurrido ya largamente el plazo de 12 meses establecido en la normativa. La cuestión formal expuesta impide la continuidad de las actuaciones. De la prejudicialidad penal. En su escrito de reclamación el denunciante explica que con fecha 02/08/12 ha interpuesto denuncia policial por los hechos que motivan este expediente, adjuntando a folios 30 a 32 copia de la misma (atestado 24231/12). Esta parte considera esencial que se analice la paralización de las presentes actuaciones a expensas del resultado de las actuaciones penales de la referencia actuaciones en los términos del art. 7 del RD 1398/1993, 4 de agosto, por el que se aprueba el Reglamento para el ejercicio de la potestad sancionadora, debiendo instarse a la parte reclamante para que aporte documentación sobre el estado de la referida reclamación (Juzgado en el que han recaido las actuaciones y situación procesal). De la relación con Galp Energia. Nuestra labor se realizó estrictamente bajo la responsabilidad de Galp y según sus Instrucciones, asumiendo Partec la condición de encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 Mi mandante en todo momento actuaba bajo la supervisión y según las Instrucciones de Galp, produciendo que sea esta última la única y total responsable de los hechos objeto de reclamación. De la relación con el comercial. La relación que vincula a Partec con el comercial es de carácter mercantil (relación entre dos empresarios independientes), según se acredita en la copia del contrato suscrito entre Partec y la comercial, que se adjunta al presente como Doc. Nº 1. De los datos personales disponibles en el contrato. El reclamante manifiesta que Galp había realizado la contratación sin su consentimiento, recogiendo y tratando sin autorización sus datos personales. La realidad de estos datos, en nuestra opinión codayuva al menos de manera indiciaria, a la realidad de la contratación en sí. Esta veracidad de los datos se aprecia también en el contenido de la reclamación del reclamante (folio nº 1) como de las notas correspondientes a las grabaciones realizadas por Galp a través de su servicio de atención al cliente (folios nº 140 y ss del Expediente). Atendiendo a este artículo y a tenor de lo ya mencionado, la decisión de la administración sin la consulta de un perito sobre este asunto, no sería más que un acto arbitrario carente de fuerza probatoria para demostrar que la firma del reclamante fue falsificada, llevando ello a lesionar la tutela judicial efectiva recogida en el art. 24.1 CE de 1978. SEXTO: EN fecha 01/03/14 se emite propuesta de Resolución que fue objeto de notificación en legal forma a las Entidades --GALP MADRILEÑA DE GAS-- y PARTEC REPRESENTACIONES S.L en dónde se propone la imposición de una sanción de 20.000€ para la primera por la infracción del art. 6.1 LOPD y una sanción de 3.000€ para la Entidad encargada del tratamiento por la infracción del contenido esencial del art. 6.1 LOPD. SÉPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. Con fecha 17/04/12 se recibe en esta AEPD reclamación del afectado en dónde pone de manifiesto lo siguiente: “Que han sido enviadas a mi domicilio facturas emitidas por Galp Energía por supuestos contratos que en modo alguno he formalizado (…)”.—folio nº 1--. Segundo. Queda acreditado que en los sistemas de información de la entidad denunciada—Galp—existe un contrato, si bien la rúbrica que aparece en el mismo no se corresponde en cuanto al trazado y forma prima facie con la del denunciante—folios nº 2, 109 y 110--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 Tercero. Queda acreditado que la Entidad denunciada—Galp—ha emitido facturas con los datos de carácter personal del afectado—folio nº 111--. Cuarto. En los sistemas de información de la entidad—Galp—consta en relación con la contratación la siguiente información asociada al denunciante. -Alta en el servicio de Gas se realizó el 03/05/12 y se dio de baja el 11/07/12 por cambio de comercializadora. -Alta en el servicio Confort Gas Básico se realizó el 20/01/12 y se dio de baja el 19/04/12. -Alta en el servicio de Confort-Hogar se realizó el 20/01/12 y se dio de baja el 19/04/12. Quinto. En los sistemas de información de la Entidad denunciada—Galp— consta las siguientes reclamaciones del afectado. “…le comunico a Uds. Que no tengo formalizado contrato que me vincule en modo alguno a sus servicios de Confortgas Básico, así como, tampoco ConfortHogar” Fecha 02/04/12—folio nº 125--. “Se recibe e-mail. Se me solicita que curse la baja de Confortgas Básico, así como, de ConfortHogar”. Fecha 03/04/12 —folio n 126--. Sexto. Queda acreditado que la Entidad encargada de la formalización y promoción de los servicios es la Entidad Partec Representaciones S.L.; la cual a su vez encargó la realización del trabajo a un “comercial”: Doña B.B.B.. Queda acreditado que la Entidad denunciada Partec ostenta la condición jurídica de “encargada del tratamiento”—ex art. 3 letra
2. h)LOPD—en virtud del contrato suscrito con la Entidad—Galp Energía—(responsable del fichero) en fecha 15/02/12. La promoción comercial se realizó a través del sistema de puerta a puerta. No se aporta junto con el contrato copia del DNI o documento de naturaleza similar, ni se acredita en Derecho el haber desplegado diligencia alguna en la comprobación de los datos del denunciante. Séptimo. En el contrato firmado en fecha 15/02/12 por D. C.C.C. en nombre y representación de la Entidad Partec Representaciones S.L se asumen las siguientes obligaciones: “Es objeto del presente Acuerdo regular los términos y condiciones que van a regir en la prestación por parte del PROVEEDOR de los servicios de promoción comercial y fuerza de ventas de los productos y servicios ofrecidos por Galp Energía (“en adelante los “servicios”).—. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 “Deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo y, en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente sobre protección de Datos de carácter personal y sobre protección de los consumidores y usuarios”—. “Se compromete a cumplir y hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp (…)—. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras, la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”.—. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Antes de entrar en el fondo del asunto que nos ocupa hemos de proceder a entrar a valorar la solicitud de la Entidad denunciada—PARTEC Representaciones S.L—sobre la prejudicialidad penal. Uno de los principios que informa el Derecho Penal es el de “intervención mínima”, esto es, castigar sólo aquellas conductas graves merecedoras de una pena y dejar a la Administración que castigue las conductas menos graves a través de la sanción administrativa. En el presente caso, se procede a enjuiciar la actuación de la Entidad denunciada—Partec—en el marco del cumplimiento de sus obligaciones en materia de LOPD, siendo ésta una responsabilidad de carácter administrativo, independiente de la “presunta” responsabilidades penales que se pudieran acreditar en el seno de un proceso penal: que también podrían afectar a la propia Entidad recurrente (vgr. si se acreditase una situación de connivencia entre el comercial y la actuación de los representantes de la Entidad recurrente). La mera presentación de una denuncia de “hechos” ante las Fuerzas y Cuerpos de Seguridad del Estado, no implica “el desarrollo de un proceso penal sobre los mismos hechos (…)”; siendo en todo caso, los sujetos intervinientes distintos: en el presente caso, se enjuicia el cumplimiento o incumplimiento de la Entidad—encargada del tratamiento—Partec-- de sus obligaciones en materia de LOPD. Se colige que no existe identidad de sujeto, hecho y fundamento, pues aunque C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 los hechos imputados en ambos procedimientos, penal y administrativo derivan de una misma actuación, el sujeto a los que se dirigen son distintos, en uno la persona/s que presuntamente suplantó la identidad del denunciante, y en el ámbito administrativo a las Entidades referenciadas en el Acuerdo de Inicio, y en buena lógica la imputación también es distinta, en un caso una posible usurpación de estado civil y estafa (art. 401 y 248 del código penal) y en el otro una posible vulneración de los principios del consentimiento en el tratamiento de los datos de carácter personal por parte de las Entidades citadas “ut supra” (arts. 6 de la LOPD). En base a lo expuesto, se procede a desestimar la petición de la Entidad denunciada—Partec--, siendo competente esta AEPD para entrar a enjuiciar la infracción administrativa objeto de denuncia en el marco de la LOPD. III En segundo término, cabe analizar la reclamación de la Entidad denunciada—Partec— sobre la caducidad de las actuaciones previas. En el caso que nos ocupa la denuncia fue presentada en esta AEPD por el denunciante en fecha 17/04/2012—dies a quo--. Con fecha 15/10/2012 se procedió a inadmitir a trámite la misma por no haber ejercitado de derecho de cancelación frente a la Entidad responsable del fichero. El denunciante interpuso en tiempo y forma Recurso de reposición frente al acto del Director de la AEPD en fecha 24/10/2012, siendo resuelto el mismo en fecha 15/11/2012 en dónde se acordó “Estimar el mismo por un presunto tratamiento de datos sin su consentimiento”. Con fecha 22/10/2013 se procedió a dictar por el Director de la AEPD Acuerdo de Inicio en el marco del PS/00555/2013 siendo objeto de notificación en legal forma a las partes afectadas. El art. 122. 4 RD 1720/2007, 21 de diciembre dispone lo siguiente: “Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones”. Por tanto, habiéndose producido la entrada de la denuncia en esta AEPD en fecha—17/04/2012—a pesar de la existencia de un procedimiento de revisión estimatorio para la parte denunciante, el Acuerdo de Inicio del PS/00555/2013 no se produjo hasta la siguiente fecha: 22/10/2013, esto es han transcurrido 18 meses y 5 días; por lo que se supera al plazo máximo de 12 meses legalmente establecido. A tal efecto, baste traer a colación la reciente SAN 23 julio del año 2013 en dónde el Tribunal se manifiesta en el siguiente sentido: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 “A tenor de lo expuesto, el plazo de 12 meses se computa desde que la denuncia tiene entrada en la AEPD y sólo cuando la misma no se ha interpuesto, esto es, cuando tal denuncia no existe, desde que el Director de la Agencia acuerda la realización de dichas actuaciones previas de investigación. Por tanto, cabe apreciar la caducidad ya que en el caso que nos ocupa la denuncia tuvo entrada en la AEPD el 8 de abril de 2009, mientras que el acuerdo del Director de dicha Agencia de inicio del expediente sancionador de fecha 10 diciembre de 2010, fue notificado el 16 de diciembre de 2010. Pero es que desde la formulación de la denuncia, abril de 2009, hasta que en un primer momento se acordó no iniciar procedimiento sancionador, enero de 2010, sin realizar ningún actuación, transcurrieron unos diez meses, así como, también se tardó en resolver el recurso de reposición por el denunciante contra la anterior resolución, febrero de 2010, hasta que fue estimado el mismo, mayo de 2010, a lo que hay que sumar el plazo existente desde la Resolución de mayo de 2010 hasta el Acuerdo de inicio del Procedimiento sancionador de fecha 10 de diciembre de 2010. …la imposición de la sanción a la parte actora se ha basado en las pruebas y actividad investigadora llevadas a cabo en dicha fase de actuaciones previas, la declaración de caducidad de las mismas conlleva que no ha existido en el procedimiento prueba de cargo suficiente para imputar la sanción finalmente impuesta a la parte recurrente, por lo que tal sanción ha de ser anulada, con estimación del recurso contencioso-administrativo (…)”. IV Por otro lado, el artículo 92.3 de la LRJAPyPAC establece que: “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. Al respecto la Audiencia Nacional viene estableciendo (por ejemplo en su reciente Sentencia de 10 de julio de 2013) que “declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. El art. 47 LOPD—Lo 15/99—dispone en relación con la “prescripción” lo siguiente: “Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año”. En consecuencia, y al objeto de contrastar la adecuación de los hechos denunciados a la normativa en materia de protección de datos, se dan instrucciones a la Subdirección General de Inspección de Datos para que inicien nuevas actuaciones de investigación y se abra el expediente E/02279/2014, toda vez que los hechos objeto de denuncia y susceptibles de infracción administrativa no se encuentran prescritos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la CADUCIDAD del presente procedimiento sancionador en base a la caducidad de las actuaciones previas de investigación señaladas con el número E/07158/2012, procediéndose a su archivo, y ORDENAR el inicio de una nueva fase de investigación para el esclarecimiento de los hechos denunciados en el marco del E/02279/2014. SEGUNDO: NOTIFICAR la presente resolución a la Entidad/es GALP MADRILEÑA DE GAS y a la Entidad --PARTEC REPRESENTACIONES S.L-- y a Don A.A.A.. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es