PS-00637-2013

1/22 Procedimiento Nº PS/00637/2013 RESOLUCIÓN: R/00878/2014 En el procedimiento sancionador PS/00637/2013, instruido por la Agencia Española de Protección de Datos a la entidad GALP ENERGIA ESPAÑA, S.A.U., y PARTEC Representaciones S.L , vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: D. A.A.A. (en lo sucesivo el denunciante) declara que recibió un escrito de reclamación de pagos de gas y electricidad de GALP ENERGIA ESPAÑA, S.A.U. en una vivienda que tenía alquilada. Tras ejercitar el derecho de acceso la entidad le adjunta una copia de un contrato que no ha firmado, por lo que no ha dado alta en servicio alguno. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad --GALP ENERGIA ESPAÑA, S.A.U--., teniendo conocimiento de que: Con fecha de entrada 31 de mayo de 2013, a requerimiento de la Agencia, la entidad GALP ENERGÍA ESPAÑA, S.A.U. (en adelante GALP) aporta la siguiente documentación: 1. En los ficheros de GALP figura que a nombre de D. A.A.A. se han contratado los siguientes servicios: Los representantes de la entidad aportan copia del Contrato de Gas, Electricidad, ConfortGas Básico y ConfortHogar, suscrito por el inquilino del piso propiedad del denunciante, el cual manifiestan que actúa por representación y con consentimiento del denunciante. El contrato se firmó en Madrid, el 26 de enero de 2012 a nombre de D. A.A.A., aunque figura que actúa en su nombre y representación D. ***NOMBRE.1 que firma el contrato P.O. No consta copia del DNI ni documento acreditativo la identidad de D. ***NOMBRE.1 ni de D. A.A.A.. Como titular de la cuenta bancaria figura D. B.B.B.. El alta en el servicio de gas se realizó el 01/03/ 2012 el cual sigue activo. • El alta en el servicio ConfortGas se realizó el 01/02/2012 y la baja el 30/11/2012. • El alta en el servicio de Electricidad se realizó el 14/02/2012 el cual sigue activo. • El alta en el servicio ConfortHogar se realizó el 01/02/2012 y la baja el 30/11/2012. La contratación se realizó presencialmente a través de la empresa PARTEC C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 REPRESENTACIONES, S.L. 2. En el sistema de facturación de la entidad figura que como consecuencia de los servicios contratados se han generado 13 facturas, 10 de ellas compensadas y 1 anulada.Existe deuda pendiente de 204,32 €. 3. En el fichero de contactos mantenidos con el cliente figura:  Con fecha 27/11/2012 D. C.C.C. facilita lectura para el cambio de titular y el sistema da error.  Con fecha 27/11/2012 por la tarde, realiza factura de abono, bloquen los servicio de ConfortGas y ConfortHogar, y compensa una factura. Queda una deuda del cliente de 396,76 €.  Con fecha 28/11/2012 el cliente tiene facturas por pagar por lo que no se puede realizar el cambio de titular.  Con fecha de 19/12/2012 D. A.A.A. reclama que no se cumple la LOPD, ya que la contratación la hace el inquilino.  Con fecha de 21/12/2012 D. A.A.A. reclama que no ha contratado con GALP y que ha recibido copia de los contratos pero su firma está falsificada y envía documentación para comprobar la firma.  Con fecha de 27/12/2012 GALP recibe un e-mail de D. A.A.A. que quiere confirmar el corte del servicio por la falta de pago de las facturas.  Con fecha de 27/12/2012 D. A.A.A. afirma que no tiene que firmar ninguna factura ya que fue el inquilino el que hizo el contrato.  Con fecha de 28/12/2012 GALP recibe un e-mail de D. A.A.A. donde explica su situación, ante todo que no ha firmado ningún contrato, sino que se firmó P.O.  Con fecha de 3/01/2013 GALP recibe un e-mail de D. A.A.A. donde se comprometa a pagar una factura rectificativa de 341,93 € y facilita una cuenta corriente.  Con fecha de 3/01/2013 les recuerda la reclamación abierta por el contrato que nunca firmó.  Con fecha de 1/02/2013 D. A.A.A. solicita por e-mail respuesta escrita de su reclamación.  Con fecha de 8/02/2013 D. A.A.A. les informa vía e-mail de la denuncia ante la Agencia Española de Protección de Datos.  Con fecha de 7/03/2013 D. A.A.A. envía un e-mail 4. La contratación se realizó presencialmente a través de la empresa PARTEC REPREENTACIONES, S.L. Los representantes de la entidad manifiestan que el contrato se aportó en el expediente E/01152/2013. 1. En el Acta de Inspección E/06200/2012-I/1, realizada a la empresa PARTEC REPRESENTACIONES S.L. (en adelante PARTEC) han quedado acreditados los siguientes hechos: 1.1. La actividad única de la entidad ha sido la comercialización de productos y servicios de Galp Energía, si bien actualmente no tiene ningún tipo de actividad, y la disolución final se producirá cuando finalicen los contenciosos que tienen interpuestos. 1.2.El único cliente que ha tenido Partec como empresa ha sido Galp. Comenzó a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 trabajar con ella en marzo de 2011 mediante contrato verbal. Inicialmente no recibe ninguna instrucción concreta de Galp en cuanto a la forma de proceder para recabar los datos personales incluidos en el contrato, sólo recibe los contratos de Galp en blanco para que los comerciales de Partec los cumplimenten. Siguiendo las instrucciones de Galp recibidas por correo electrónico no se consideraba necesario que el contrato estuviese firmado por el titular del suministro contratado, podía ser firmado por cualquier persona que se encontrase en el domicilio apelando al criterio del comercial (esposa, inquilino, hijo, etc….). En junio de 2012, Partec recibe un nuevo correo electrónico modificando este procedimiento. A partir de ese momento, los comerciales deben recabar los datos personales y firmar el contrato con el titular del servicio y si era inquilino debía aportar copia del DNI y autorización del titular del suministro En febrero de 2012 se firma un contrato por escrito donde sí figuran instrucciones concretas. Actualmente el contrato firmado entre ambas empresas se encuentra disuelto desde el 15 de octubre de 2012. Partec llegó a tener entre 70 o 75 comerciales con los que tenía firmado un contrato mercantil. A los comerciales se los captaba en la calle y sin recibir ninguna formación concreta sobre los tratamientos de datos personales que debían realizar comenzaban a comercializar los productos y servicios de Galp a puerta fría, sin recibir con antelación ningún dato personal de los potenciales clientes. En marzo de 2012 Galp elabora un código de conducta para los comerciales que remite a Partec y se incluye en el contrato mercantil que firmaban los comerciales que se incorporan a partir de esa fecha. Partec entregaba en la sede de Galp en Alcobendas los contratos en papel que le entregaban sus comerciales,. Pasados unos 15 días, Galp abonaba a Partec el importe pactado por la confección de los mismos. Partec no se quedaba con copia de los contratos, únicamente recogía en un documento Excel el listado de los domicilios donde se habían firmado contratos para chequear el correcto pago por parte de Galp. Una vez cobrados los servicios, se destruía el citado documento. Actualmente, guardan copia de los documentos Excel últimos porque están pendientes de cobrar y están en proceso judicial. TERCERO: Con fecha 18 de noviembre de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a las Entidades --GALP ENERGIA ESPAÑA, S.A.U--. y --PARTEC Representaciones S.L--, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como infracción grave en el artículo 44.3

1. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad --GALP ENERGIA ESPAÑA, S.A.U.--, mediante escrito de fecha 11/12/13 formuló alegaciones, significando de manera sucinta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 Tratamiento de los datos del denunciante. La incorporación de los datos del denunciante en los sistemas de Galp se produjo como consecuencia de la aportación del contrato de suministro de gas y electricidad y servicios de mantenimiento de Confortgas y Conorthogar, en el que se encontraban incorporados los datos del denunciante, proporcionado por la Entidad Partec Representaciones S.L. Circunstancias de la contratación. Si bien es cierto que no se exigía la recogida de la copia del DNI, era condición indispensable que los comerciales verificaran la identidad del firmante mediante la exhibición de su DNI. Galp no podía suponer que Partec, incumpliría de manera sistemática sus obligaciones contractuales y, en especial, que contrataría comerciales mediante su captación en la calle y sin recibir ningún tipo de formación, según se indica en el Acuerdo de inicio del procedimiento sancionador. Proposición de prueba. Esta parte en defensa de sus derechos solicita la realización de la siguiente prueba: -Copia del contrato de arrendamiento firmado entre el denunciante y D. B.B.B. que permita comprobar las condiciones en las que el inquilino se ha de hacer cargo de la contratación de suministro de gas y luz. -Identificación y contrato de arrendamiento de los posteriores inquilinos que hayan ocupado la vivienda en el periodo comprendido entre febrero del año 2012 y diciembre del año 2013. Reconocimiento voluntario de la responsabilidad. La compañía mantiene que la contratación presuntamente fraudulenta habría sido llevada a cabo por Partec, como encargado del tratamiento, respecto de lo cual, Galp defenderá sus intereses en las instancias jurisdiccionales competentes. Galp se aviene a reconocer el tratamiento inconsentido de los datos del denunciante del presente procedimiento. QUINTO. Con fecha 17/12/13 se recibe en esta AEPD las alegaciones de la Entidad denunciada—Partec—en dónde argumenta como mejor proceda en derecho lo siguiente en relación a los “hechos” denunciados. De la relación con el comercial. La relación que vincula a Partec con el comercial es de carácter mercantil (relación entre dos empresarios independientes), según se acredita en la copia del contrato suscrito entre Partec y el comercial (…). El “comercial” es un tercero independiente a mi representada, que actuaba según los criterios de comercialización y ventas de Galp, de tal manera que las obligaciones contractuales de entre Partec-Galp en materia de recogida y tratamiento de datos se derivan del comercial, primero, con un contrato mercantil que firma con Partec y segundo, con un Código de conducta que le vincula directamente con Galp, con el que “actúa en representación de empresas del Grupo Galp Energía”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 De las contradicciones del reclamante. De la facturación de Galp. En los folios nº 1 a 42 del expediente el reclamante en diversos correos electrónicos mantenidos con Galp, hace una relación de los hechos por lo que entiende que no le corresponde el pago de factura alguna. A pesar de que el contrato se realiza el 26 de enero de 2012, el cliente dice no tener conocimiento de estos hechos hasta pasados casi 11 meses. Que no es hasta noviembre de ese mismo año, con la entrada de un nuevo inquilino, cuando se da cuenta de que Galp le está reclamando diversas facturas por el consumo de suministros energéticos de esa vivienda. Hay una tercera contradicción que viene reflejada en los folios nº 71 y 74 del expediente. En el folio nº 74, con fecha 27 de diciembre de 2012. En nota interna, se escribe lo siguiente “El cliente dice no tiene que pagar ningún factura ya que él no ha firmado el contrato lo hizo el inquilino”. De todo lo anterior, se deduce que el cliente que tenía contratado los servicios de suministro energético en esa vivienda, una vez que el inquilino suscribe el contrato con Galp, en nombre y representación de su casero, éste era conocedor del cambio de compañía puesto que deja de recibir facturas en su cuenta corriente. De la imposibilidad de aportación de copia del DNI por parte de la Empresa Partec. Esta parte no puede aportar ningún documento de identificación puesto que estaría contraviniendo lo dispuesto en el art. 12.3 LOPD. Además la destrucción de la documentación o de las copias de las mismas cuando eran entregadas a Galp o a Unísono queda reflejada en la notificación del inicio del procedimiento sancionador “Una vez cobrados los servicios, se destruía el citado documento”. SEXTO: Con fecha 17/02/14 se inició el período de práctica de pruebas, en el que se acuerda denegar con carácter motivado la solicitud de pruebas de la entidad denunciada —Partec--. SÉPTIMO: Con fecha 07/04/14 se procede a notificar a las Entidades denunciadas-Galp Energía S.A.U- y –Partec Representaciones S.L—la propuesta de Resolución en la que a tenor de los hechos expuesto se propone una sanción de 20.000€ para la Entidad responsable del fichero Galp por la infracción del art. 6.1 LOPD y una sanción de 3.000€ para la Entidad denunciada—Partec Representaciones S.L—por la infracción del contenido esencial del art. 6.1 LOPD. OCTAVO: Con fecha 25/04/2014 se recibe en esta AEPD escrito de alegaciones a la “propuesta de Resolución” de la Entidad denunciada—Galp Energía—en dónde como mejor proceda en Derecho manifiesta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 Reconocimiento voluntario de la responsabilidad. La compañía desea recordar que aunque ha reconocido la culpabilidad en el tratamiento inconsentido de los datos del denunciante, dicho tratamiento fue realizado como consecuencia de la contrtación presuntamente fraudulenta efectuada por el encargado del tratamiento (…). De los criterios aplicados del art. 45.5 LOPD. La AEPD aplica determinados criterios del art. 45.4 LOPD para graduar las sanciones propuestas a las entidades presuntamente infractoras, sobre los que esta parte desea realizar las siguientes puntualizaciones (…). La compañía considera plenamente de aplicación lo dispuesto en el art. 45.5 LOPD para poder aplicar la escala relativa a las infracciones leves de forma más beneficiosa para ella al concurrir los criterios recogidos en los siguientes apartados: - Referente al carácter continuado de la infracción, los datos fueron tratados con legitimidad por parte de Galp para atender a las reclamaciones. Referente a los beneficios obtenidos por Galp. Respecto al grado de intencionalidad, al tratarse de una contratación realizada por el encargado del tratamiento por lo que no se puede apreciar intencionalidad alguna en el caso de la compañía. De la desproporcionalidad de las sanciones impuestas a las partes denunciadas. La propuesta de Resolución propone que se sancione a Galp con una multa de 20.000€ mientras que Partec se propone una multa de 3.000€, por la misma infracción del art. 6.1 LOPD. El capital suscrito de 3.006€ no puede identificarse con el volumen de negocio, puesto que se corresponde con el capital legal mínimo para constituir una sociedad de responsabilidad limitada. El hecho de tener poco conocimiento en materia de protección de Datos no debería tenerse en cuenta en ningún caso para atenuar la responsabilidad, pues se ha obviado el art. 6.1 del CC. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. Se recibe en esta AEPD reclamación del denunciante en la que de manera sucinta pone de manifiesto los siguientes hechos. “realización de contrato consentimiento”—folio nº 1--. C/ Jorge Juan, 6 28001 – Madrid de suministros por parte de Galp sin su www.agpd.es sedeagpd.gob.es 7/22 Segundo. En el sistema de información de la Entidad denunciada—Galp— consta un contrato asociado al denunciante con fecha 26/01/12—enero 2012-- , si bien éste no está firmado por el titular de los datos, sino que se observa P.O (***NOMBRE.1) —folios nº 55 y 56--, sin embargo, los datos del cliente son: D. A.A.A.. Tercero. Queda acreditado que el documento contractual, no viene acompañado de copia o fotocopia del DNI del afectado, ni de poder de autorización alguno de la persona firmante. Los datos del cliente y del solicitante (esto la persona autorizada) son idénticos: D. A.A.A.. Cuarto. Queda acreditado que en los sistemas de información de Galp constan las siguientes reclamaciones del afectado: “Cliente muy insistente que su caso no es legal porque no se cumple la LOPD en su contratación ya que la hace el inquilino. Se le indica que la forma de proceder en estos casos (…). Cliente amenaza que ya tendremos noticias suyas puesto que el piensa que no es legal todo esto. Cliente entiende lo explicado”. Fecha 19/12/12—folio nº 70--. “Cliente reclama que no ha contratado nada en Galp. Ha recibido copia de los contratos, pero la firma está falsificada. Nos va a enviar la documentación para que se compruebe la firma”. Fecha 21/12/12—folio nº 71--. Quinto. La Entidad denunciada—Galp—procedió a tratar los datos del afectado mediante la emisión de facturas. Así constan en el expediente administrativo las siguientes: - Nº factura ***FACTURA.1. Total importe: 101,94€. Fecha emisión: 13/05/2012.— folios nº 91 y 92--. Nº de factura ***FACTURA.2. Total importe: 21,00€. Fecha de emisión: 30/09/2012.—folios n 100 y 101--. Nº de factura ***FACTURA.3. Total a pagar: 71,52€. Fecha de emisión: 01/10/2012.—folios nº 102 y 103--. Nº de factura ***FACTURA.4. Total a pagar: 31,86€. Fecha de emisión: 12/10/2012.—folios nº 104 y 105--. Sexto. Queda acreditado que la Entidad encargada de la formalización del contrato fue-Partec Representaciones S.L--, la cual a su vez actuó por medio de “comercial” bajo su supervisión: D. D.D.D.. Esta Entidad no está en disposición de aportar documento/s que acredite que contaba con el consentimiento del titular de los datos, ni realizó actividad de verificación alguna tendente a constatar el alta/s consentida e informada de los servicios supuestamente contratados. Séptimo. En el contrato firmado en fecha 15/02/12 por D. E.E.E. en nombre y representación de la Entidad Partec Representaciones S.L se asumen las siguientes obligaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 “Es objeto del presente Acuerdo regular los términos y condiciones que van a regir en la prestación por parte del PROVEEDOR de los servicios de promoción comercial y fuerza de ventas de los productos y servicios ofrecidos por Galp Energía (“en adelante los “servicios”).—. “Deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo y, en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente sobre protección de Datos de carácter personal y sobre protección de los consumidores y usuarios”—. “Se compromete a cumplir y hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp (…)—. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras, la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”.—. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso se procede a examinar la reclamación de fecha 08/02/13 en dónde el epigrafiado pone de manifiesto lo siguiente: “…datos obtenidos sin mi consentimiento”—folio nº 1--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 Se procede a analizar si los “hechos” denunciados suponen una presunta vulneración del contenido del art. 6.1 LOPD, que consagra el principio del consentimiento en el marco de la LOPD: como derecho del afectado a consentir de manera inequívoca sobre el uso y tratamiento de sus datos de carácter personal. Como medio de prueba presenta la Entidad denunciada—Galp—copia del “presunto” contrato firmado por el afectado—folio nº 55y 56—en dónde se plasma literalmente P.O ***NOMBRE.1, si bien no se aporta ningún tipo de documentación acreditativa de la identidad del afectado (vgr. DNI o documento de naturaleza similar) o de la persona autorizada. A mayor abundamiento, los datos del solicitante en el documento contractual son idénticos a los datos del cliente—folio nº 55--. Por tanto, resulta palmario que el contrato no fue firmado por el denunciante—D. A.A.A.--. Asimismo, no consta aportado ningún documento que acredite el consentimiento expreso del afectado (vgr. DNI o documento de naturaleza similar) ni consta acreditado que por la Entidad—Galp—se haya realizado actividad alguna de comprobación de la identidad del titular de los datos en orden a la activación de los servicios “presuntamente” contratados (vgr. llamada de bienvenida, etc) La infracción cuya comisión se atribuye a la entidad denunciada—Galp--consiste en el tratamiento de datos personales del denunciante sin su consentimiento, mediante su incorporación a sus ficheros como titular de los contratos anteriormente mencionados y la emisión de facturas por los distintos consumos de los servicios a cargo de éste. El art. 3
3. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Pero, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 En el presente caso, el afectado niega en todo momento haber dado consentimiento alguno para el alta de los servicios, que son objeto de facturación por la Entidad denunciada—Galp—“por supuestos contratos que en modo alguno he formalizado” (folio nº 1). Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la más acorde con lo dispuesto no solo en el citado art. 6.1 de la LOPD , sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Existe una consolidada Jurisprudencia de la Audiencia Nacional en casos similares al que nos ocupan: -SAN 10/06/11 “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más la firma del contrato se corresponde con la inquilina de la vivienda”. -SAN 18/03/11 “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de servicios S.A no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos y, ello sin perjuicio de la responsabilidad en que pueda haber incurrido la distribuidora Avanza respecto de la hoy recurrente”. -SAN 06/10/11 “No ha podido acreditar el cumplimiento de las exigencias mínimas impuestas por la diligencia normal en la contratación telefónica que habrían obligado a conservar y custodiar la documentación personal del cliente (DNI, pasaporte) o haber acreditado alguna actividad posterior a la contratación para verificar la realidad de esta; ni se uso la técnica de la llamada de comprobación ni se cotejó mínimamente la documentación remitida por la Empresa comercializadora exigiendo la entrega de una simple fotocopia del DNI”. Así las cosas, no consta que los datos de carácter personal del denunciante, materializado en la contratación de los servicios referenciados (vgr. Gas natural, electricidad, etc), se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
4. b)de la LOPD, no habiendo probado nada al respecto la parte actora, y no encontrándonos en ninguno de los supuestos contemplados en el art. 6.2 de la LOPD en los que no es preciso el consentimiento del afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 Por consiguiente, se ha de concluir que existe culpa o falta de diligencia que se aprecia en el caso que nos ocupa, al haberse realizado el tratamiento de los datos personales del denunciante sin su consentimiento, por lo que, considera esta AEPD, que resulta acreditada la infracción atribuida a la Entidad denunciada—Galp Energía--, que procedió a dar validez a un contrato sin firma, procediendo al tratamiento de los datos de éste sin su consentimiento expreso e informado. IV En cuanto a la Entidad denunciada—Partec Representaciones S.L—la misma según se desprende de la documentación aportada “es un prestador de servicio de fuerza de ventas de Galp Energía España S.A.U”. Dentro del marco de la Legislación vigente en materia de protección de datos ocuparía la figura de “encargado del tratamiento”. El art. 3 letra
5. g)LOPD—LO 15/99—define la figura del encargado del tratamiento de la siguiente manera: “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el caso que nos ocupa, la Entidad Partec a su vez encargo la realización y toma de los datos a un agente comercial: Don D.D.D., siendo la relación entre ambos de carácter mercantil. “El agente se obliga a actuar lealmente y de buena fe velando por los intereses de Partec Representaciones S.L por cuya cuenta actúa, en el ejercicio de la actividad encomendada”. Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía—(vgr. aportado en el PS/00183/2013). A saber: “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado”. La Entidad denunciada—Partec—no está en disposición de aportar copia del DNI o documento de naturaleza similar que acredite de forma fehaciente que contaba con el consentimiento inequívoco e informado del titular de los datos. A mayor abundamiento, por parte de la Entidad denunciada—Partec-- no se procede a explicar “cuáles son las funciones de comprobación de la documentación” aportada por el comercial, sin que conste acreditado que hubieran adoptado medida alguna para tratar de verificar la identidad y autenticidad de los datos personales plasmados en el “presunto” contrato. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo) sin que corresponda a esta Agencia el análisis de su relación con el comercial correspondiente. “…que los administradores incumplieron las obligaciones que se derivan de la LSA (…) no actuando con la diligencia exigible a un ordenado comerciante…no debió aceptar el cargo para el que se le nombraba, o bien renunciar al mismo por falta de contenido material, pues la Legislación es clara sobre las obligaciones que pesan sobre los administradores, las cuales no desaparecen aunque sean otras personas la que llevan la efectiva gestión de la Empresa” –STSJ Asturias 24/05/2006--. Sobre la responsabilidad de las Entidad/es “encargadas del tratamiento” como es el caso de --Partec Representaciones S.L-- se ha venido a pronunciar, igualmente, la Audiencia Nacional. “Por tanto, el hecho de que la responsable del tratamiento y del fichero sea Endesa Energía y en esa condición tenga la obligación de asegurarse que contaba con el consentimiento de la denunciante para tratar sus datos de carácter personal, no exime a la recurrente como encargada de la captación de nuevos clientes del servicio de suministro eléctrico y de la formalización de la solicitud de suministro de gas natural facilitada por Endesa, de la obligación de realizar un mínimo trabajo de supervisión que, como señala la AEPD, permita detectar y controlar la regularidad de la recogida de datos por parte de sus agentes. Se trata de responsabilidades (la de Endesa Energía e Intecas) no excluyentes sino plenamente compatibles, conforme viene reiterando esta Sala en supuestos similares”. Por tanto queda acreditado que la Entidad-Partec—ha tratado datos de carácter personal sin diligencia en la obtención del consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energía o la posible repercusión a los “comerciales” bajo su dirección organizativa. En el caso que nos ocupa, con la diligencia mínima exigible se hubiera acreditado, sin esfuerzo interpretativo, que el contrato presentado no fue firmado por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 titular de los datos—D. A.A.A.—y hubiera desplegado una actividad mayor, tendente a adjuntar junto con el contrato, el consentimiento inequívoco del titular de los mismos (documento de autorización del titular de los datos ó DNI del nuevo usuario). En interpretación del art. 6.1 LOPD, la Audiencia Nacional ha venido manteniendo de forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento de inequívoco. Por todo ello, se considera que ha infringido el contenido del art. 6.1 LOPD y no puede esgrimir un desconocimiento de la normativa vigente en materia de protección de datos. V Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido. VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En el presente caso, la Entidad denunciada—Galp—procedió al alta de varios servicios (Gas, Confortgas y Conforthogar) sin contar con el consentimiento inequívoco del titular de los datos. A mayor abundamiento, no dispone en sus sistemas copia/fotocopia del DNI o NIE del afectado, ni del nuevo usuario, ni acredita haber realizado actividad alguna de verificación de la identidad del titular de los datos. La infracción apreciada consiste en tratar los datos de carácter personal con vulneración del principio del consentimiento consagrado en el artículo 6 de la LOPD, que dispone "1.-El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". Dicha infracción se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, apreciándose en el supuesto de autos una falta de diligencia en la actuación de Galp Energía al no haber realizado las verificaciones oportunas para constatar si la denunciante había prestado realmente su consentimiento para darle de alta en el servicio y tratar en definitiva sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 El art. 54 de la Ley 30/92, 26 de noviembre dispone que: “Serán motivados, con sucinta referencia de hechos y fundamentos de derecho:
16. a)Los actos que limiten derechos subjetivos o intereses legítimos”. En el presente caso, ha quedado acreditado que el afectado—D. A.A.A.—no otorgo su consentimiento al cambio contractual con la compañía-Galp—(folio nº 8 y 9)—ni tan siquiera tenía conocimiento del cambio/s producido al ser el documento contractual firmado P.O de D. B.B.B., inquilino del inmueble y no el titular de la propiedad. La falta de diligencia de la Entidad—Galp- (responsable del fichero) viene marcada por la falta de documentación adjunta al contrato principal (DNI del solicitante, DNI del cliente o en su defecto, aportación de al menos copia del contrato principal debidamente cumplimentado por el titular de los datos…). No cabe duda de que nos encontramos ante lo que en la práctica se denomina cambio de titularidad del contrato (suministro de gas y electricidad), siendo necesario en el marco de la LOPD, cuya finalidad es la protección del titular de los datos frente a actuaciones contrarias a la Ley, reforzar la protección del mismo; pues de lo contrario “cualquiera” en el marco de la Sociedad de la Información podría realizar negocios jurídicos sin el consentimiento del afectado/a. No obstante, esta AEPD si tiene en cuenta la intervención de un tercero, que no es discutida por las partes, el inquilino—D. B.B.B.—que es quién recibe al comercial en el domicilio designado, cambia el contrato y aporta la que entendemos es el nº de cuenta corriente del mismo en orden a que se carguen en la misma los consumos efectuados. Ello implica tener en cuenta la aplicación del art. 45. 5 letra
17. a)LOPD “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. Por tal motivo, se procede a encuadrar la sanción a aplicar dentro de la escala de las infracciones leves, cuya graduación legalmente establecida se encuentra entre: 900€ hasta 40.000€. A la hora de motivar la sanción a imponer a la Entidad—Galp Energía—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. 45. 4
18. c)LOPD. Galp es una Entidad habituada al trato con los “potenciales” clientes en el suministro de gas, electricidad y otros servicios, que viene a facturar tratando los datos de carácter personal de los afectados.  El volumen de negocios o actividad del infractor. Con carácter ilustrativo, Galp obtuvo de beneficio líquido en el año 2012 unos aproximadamente 359 millones de euros y en los nueve primeros meses del año 2013 unos 218 millones de euros de beneficios. 45. 4
19. d)LOPD  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
20. h)LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 Como resumen, de lo expuesto, ha quedado acreditado que la Entidad denunciada—Galp-- no contaba con el “consentimiento inequívoco e informado” del afectado, el contrato no se encontraba firmado por el titular de los datos; no se procedió a realizar actividad de verificación alguna (vgr. llama de bienvenida, envió de copia del contrato para ser debidamente cumplimentado, adjuntar copia del DNI del cliente, adjuntar copia del DNI del nuevo usuario etc) y se han utilizado sus datos de carácter personal mediante la emisión de facturas por servicios no contratados en legal forma. A mayor abundamiento consta en los sistemas de información de la Entidad denunciada—Galp—las reclamaciones del afectado—folio nº 70—con fecha 19/12/12, si bien, se siguen manteniendo contactos con el afectado hasta 02/07/13. La Entidad denunciada—Galp—tiene la naturaleza jurídica de “responsable del fichero” (art. 3
21. d)LOPD), ha procedido a tratar los datos del afectado mediante la incorporación de los datos del mismo en su sistema de información y ha procedido a la emisión de facturas (folio nº 100 a 121); se trata de una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que debe ser especialmente cuidadosa con dichos tratamientos y, finalmente, a pesar de las reclamaciones del afectado, que constan en los sistemas de información “se recibe reclamación del cliente fecha 19/12/12 solicita baja de todos sus contratos por contrato ilegal, ya que el contrato lo hace el inquilino”—folio nº 70—la capacidad de respuesta de la misma fue claramente negligente. Por otra parte, en su escrito de alegaciones al Acuerdo de Inicio ante esta AEPD de fecha 25/04/14 la Entidad denunciada—Galp—procede a reconocer voluntariamente la responsabilidad: en el tratamiento sin consentimiento de los datos del afectado. Por todo ello se acuerda imponer a la Entidad—Galp Energía—una sanción cuya cuantía se cifra en la cantidad de 10.000€, infracción de carácter medio dentro de la escala de las infracciones leves, en aplicación del art. 45.5
22. a)y
23. d)LOPD. En cuanto a la Entidad denunciada—Partec—“encargada del tratamiento” (art. 3
24. g)LOPD) ha quedado acreditado durante la instrucción del presente procedimiento, que la misma a través de un comercial “encargado de concluir las operaciones especificadas por la empresa, por cuenta ajena” procedió a dar de alta un contrato de suministro de gas, electricidad y mantenimiento de servicios, sin contar con el consentimiento inequívoco del mismo. No cabe duda que el comercial tiene una serie de obligaciones contractuales “El agente solicitará siempre la confirmación de venta al Cliente con el fin de verificar que ha entendido perfectamente los productos/servicios contratados, así como, el coste o repercusión económica de los mismos”. Por tanto, nos encontramos, con una serie de relaciones contractuales: Galp-Partec y, a su vez, Partec-Comercial teniendo todos que cumplir fielmente con la normativa vigente en materia de protección de datos, a la hora de comprobar y constatar que se cuenta con el consentimiento inequívoco del titular de los datos, con un mayor responsabilidad que duda cabe de las dos Entidades denunciadas en su condición de: responsable del fichero y encargada del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 Así pues, independientemente de los términos de los contratos suscritos entre sí por las dos empresas afectadas, lo que debe concluirse es que cuando cualquier de ellas lleva a cabo el tratamiento de los datos personales debe garantizar el cumplimiento de las exigencias de consentimiento En el presente caso, el contrato no ha sido firmado por el titular de los datos, no se aporta copia del DNI o documento de naturaleza similar, no se realiza actividad de comprobación alguna, ni por la Entidad responsable del fichero—Galp--, ni por la entidad encargada del tratamiento—Partec—. Las obligaciones de la Entidad encargada del tratamiento—Partec—están claramente delimitadas en el Acuerdo entre Galp-Partec de fecha 15/02/12, que procedemos a reproducir: “cumplir todas las obligaciones previstas en la Legislación aplicable y, en particular deberá cumplir con las obligaciones previstas en la Legislación vigente sobre protección de Datos de carácter personal (…)”. La actuación de los “comerciales” entra dentro de lo que podríamos considerar con “matices” una responsabilidad in vigilando puesto que como encargado del tratamiento debía verificar que la documentación que se le presentaba por los “comerciales” era conforme a la LOPD: esto es, que contaba con el consentimiento informado del afectado. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo). Por tanto queda acreditado probado que la Entidad-Partec—ha tratado datos de carácter personal sin el consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energia. A tenor de lo expuesto, queda acreditada indubitadamente la comisión de la infracción descrita en el art. 44.3
25. b)LOPD por parte de la Entidad—Partec Representaciones S.L--. Recuérdese que las sanciones administrativas son imputables no sólo a título de dolo o culpa sino incluso de “mera inobservancia” –art. 131 Ley 30/92 RJ-PAC—y, por tanto, la Empresa Partec Representaciones S.L, no ha podido probar la obtención del consentimiento del afectado, por lo que debe considerarse vulnerado el principio del consentimiento regulado en el art. 6.1 LOPD. El art. 45.5 LOPD establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos (…)”. En concreto, se tiene en cuenta la aplicación del art. 45.5 letra
26. a)de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer a la Entidad—Partec—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal.—45-4
27. c)LOPD--.  El volumen de negocios o actividad del infractor.—45.4
28. d)LOPD--.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.—45.4
29. h)LOPD--. En el presente caso, la Entidad denunciada—Partec—tenía como objeto social “la comercialización de productos y servicios por cuenta de terceros” para lo que necesitaba obtener los datos de los potenciales clientes; siendo los daños y perjuicios al denunciante “evidentes” en cuanto al tiempo de reclamaciones, así como, los perjuicios por alta de productos sin su consentimiento. En el caso de la Entidad denunciada—Partec—la misma ostenta desde el punto de vista de su naturaleza jurídica, la condición de “encargado del tratamiento” (art. 3
30. g)LOPD; está ha realizado una actividad de mero transmisor de la documentación obtenida de los “comerciales” con los datos de carácter personal del afectado/s; el volumen de negocio de la misma es considerablemente inferior a la Entidad— responsable del fichero—(Galp): 3.006€ de capital social desembolsado según consta acreditado en el Registro Mercantil; dispone de una menor práctica y conocimiento en la materia de protección de Datos que una gran compañía habituada al tráfico jurídico con datos personales. La función esencial de la Entidad Partec era “revisar la documentación aportada” según sus propias alegaciones, por tanto debería haber desplegado una actividad mínima de comprobación del consentimiento del afectado, que no le hubiera llevado esfuerzo alguno (a modo de ejemplo: una simple llamada al teléfono de contacto que consta en la parte superior del contrato). En concreto, en el documento contractual—folios nº 55 y 56-- no figuran los datos completos del solicitante, no consta el segundo apellido, no consta copia del DNI, ni la numeración del DNI del solicitante en el espacio dispuesto para ello “Datos del solicitante”. A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. Por todo ello se acuerda imponer a la Entidad denunciada—Partec Representaciones S.L—una sanción que se cifra en 3.000€, sanción que por su cuantía se establece dentro de la escala de las infracciones leves. Finalmente, esta AEPD carece de competencia para entrar a enjuiciar a quién le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 corresponde el pago de la deuda vinculada al domicilio en dónde se produjo el suministro efectivo de los servicios/s contratados, siendo una cuestión que deberá dirimirse en los organismos administrativos u órganos judiciales competentes. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GALP ENERGIA ESPAÑA, S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
31. b)de dicha norma, una multa de 10.000€ (diez mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad PARTEC Representaciones S.L , por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
32. b)de dicha norma, una multa de 3.000€ (tres mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a las Entidades GALP ENERGIA ESPAÑA, S.A.U. y PARTEC Representaciones S.L y a Don A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es