PS-00653-2015

1/7 Procedimiento Nº PS/00653/2015 RESOLUCIÓN: R/01291/2016 En el procedimiento sancionador PS/00653/2015, instruido por la Agencia Española de Protección de Datos a la entidad REPSOL COMERCIAL DE PRODUCTOS PETROLIFEROS, S.A, vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 9/1/15, tiene entrada en esta Agencia un escrito remitido por Don A.A.A., en el que denuncia que, en la gasolinera CAMPSA ESTACIONES DE SERVICIO, S.A., sita en B.B.B.), le ha sido expedida una factura con su DNI donde aparecen asociados los datos de la empresa ALKACEN, SC, con un domicilio de Lepe en Huelva. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/00976/2015. Concluyéndose la investigación con el informe siguiente de la Inspección de Datos: <<<<< Con fecha 7/5/15, se recibe escrito de CAMPSA ESTACION SERVICIO, S.A., con el que adjunta impresión de pantalla de la información que obra en los sistemas, poniendo de manifiesto que: El DNI que figura en las facturas es aportado por el cliente. En la copia de la factura que aportan de la entidad ALKACEN, consta el DNI del denunciante. Al pie de la factura consta una leyenda relativa a protección de datos, donde consta que los datos de los clientes se incluyen en un fichero propiedad de REPSOL Comercial de Productos Petrolíferos, S.A. En la impresión de pantalla que se adjunta al escrito, realizando la búsqueda a través del DNI del denunciante, los datos que aparecen, figuran asociados a la empresa ALKACEN. En la impresión de pantalla que se adjunta al escrito, realizando una búsqueda por el nombre de la empresa (ALKACEN), consta asociado el CIF: G*****, con los mismos datos de domicilio que en la búsqueda anterior, en la localidad de Lepe (Huelva). Con fecha 15 de julio de 2015, se recibe escrito de la entidad REPSOL COMERCIAL DE PRODUCTOS PETROLÍFEROS, S.A., en el que ponen de manifiesto que: El titular del fichero donde se incluyen los datos de los clientes de las Estaciones de Servicio CAMPSA, es REPSOL COMERCIAL DE PRODUCTOS PETROLÍFEROS, S.A., actuado la Estación como Encargado del Tratamiento, mediante el correspondiente contrato de Prestación de Servicios. Los datos de los clientes son accesibles desde todas las Estaciones de Servicio, con el fin de poder emitir la correspondiente factura, en su caso. Para la emisión de facturas, en el caso de personas físicas, se solicita la exhibición del DNI, en el caso de personas jurídicas, se realiza de forma verbal, dado que en la mayoría de los casos el empleado de la entidad no porta copia de la tarjeta CIF. En el caso concreto del denunciante, se ha debido producir un error, bien derivado del propio cliente a la hora de aportar la información, o bien un error en la grabación de los datos por parte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 de la Estación de Servicio. En la actualidad, el sistema de REPSOL para la emisión de facturas no permite asociar un DNI a una entidad jurídica. >>>>> TERCERO La Directora de la Agencia Española de Protección de Datos acordó, con fecha 3/12/15 iniciar procedimiento sancionador a REPSOL por la presunta infracción del artículos 4.3 de la LOPD. CUARTO: Se han presentado escrito de alegaciones, por parte de la entidad denunciada, con fecha 4/1/16, manifestando – en síntesis – los siguiente: De los hechos denunciados * Que la infracción que se imputa deviene de la expedición de una factura, a nombre del denunciante donde se hacían constar los datos de la entidad ALKACEN. - Se manifiesta que, de acuerdo la procedimiento de expedición de facturas en la red de estaciones de servicio, cuando un cliente solicita que se emita una factura, en el supuesto que se emita a nombre de una persona física, se le solicita la exhibición del DNI. Y en el caso que se emita a nombre de una persona jurídica un profesional la Estación de Servicio graba los datos que le aporta éste, dado que en situ no se dispone de medios para poder acreditar la representación. - Que en este supuesto la asociación de los datos se debió posiblemente a un error humano en la grabación de los mismos no imputable a la denunciada. No obstante en la actualidad el sistema informático no permite asociar un DNI a una entidad jurídica con el fin de no incurrir en estas situaciones en el futuro. De su calificación jurídica Que la imposición de una sanción supondría la infracción del principio de culpabilidad al faltar el elemento de intencionalidad en la medida que no se ha cometido un hecho sancionable De la pertinencia del procedimiento de apercibimiento De la aplicación, subsidiariamente de los criterios de minoración de sanciones contemplados en el art. 45.1 y 4 QUINTO Se inició un periodo de práctica de pruebas consistente en dar por reproducidos la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante REPSOL COMERCIAL DE PRODUCTOS PETROLIFEROS, S.A, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00976/2015. Asimismo, se dieron por reproducidos las alegaciones al acuerdo de inicio PS/00653/2015 presentadas por REPSOL COMERCIAL DE PRODUCTOS PETROLIFEROS, S.A, y la documentación que a ellas acompaña SEXTO: Con fecha 20/4/16 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 6.000 € a REPSOL por la comisión de una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha Ley. SEPTIMO: Con fecha 17/5/16, tuvieron entrada las siguientes alegaciones formuladas por el representante de la entidad denunciada ante dicha propuesta: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 A) Que no ha quedado acreditado que el error en la asociación de los datos se produjese por un error imputable a REPSOL o a un hecho ajeno a la responsabilidad de esta B) Aplicación, subsidiaria del art. 45.5 imponiendo la sanción en su grado mínimo correspondiente a las infracciones leves. HECHOS PROBADOS 1º Consta denuncia presentada por Don A.A.A., manifestando que en la gasolinera CAMPSA ESTACIONES DE SERVICIO, S.A., sita en B.B.B. (Sevilla), le ha sido expedida una factura con su DNI donde aparecen asociados los datos de la empresa ALKACEN, SC, con un domicilio de Lepe en Huelva. 2º Consta que el DNI que figura en las facturas es aportado por el cliente. En este caso en la copia de la factura consta el DNI del denunciante asociados a la empresa ALKACEN. 3º Que el titular del fichero donde se incluyen los datos de los clientes de las Estaciones de Servicio CAMPSA, es REPSOL COMERCIAL DE PRODUCTOS PETROLÍFEROS, S.A., actuado la Estación como Encargado del Tratamiento, mediante el correspondiente contrato de Prestación de Servicios. 4º Que Los datos de los clientes son accesibles desde todas las Estaciones de Servicio, con el fin de poder emitir la correspondiente factura, en su caso. 5º Consta que para la emisión de facturas, en el caso de personas físicas, se solicita la exhibición del DNI, en el caso de personas jurídicas, se realiza de forma verbal, dado que en la mayoría de los casos el empleado de la entidad no porta copia de la tarjeta CIF. 6º Se manifiesta que en este supuesto se ha debido producir un error, bien derivado del propio cliente a la hora de aportar la información, o bien un error en la grabación de los datos por parte de la Estación de Servicio. 7º Se manifiesta que en la actualidad, el sistema de REPSOL para la emisión de facturas no permite asociar un DNI a una entidad jurídica. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Se imputa a REPSOL en el presente procedimiento una infracción del artículo 4.3 de la LOPD, que señala que "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". La obligación establecida en el artículo 4.3 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 cumplimiento de esta obligación. En este caso, REPSOL vinculó los datos del denunciante, que solicitó una factura en una gasolinera de CAMPSA, siendo expedida la misma y resultando que en esta figuraba asociado su DNI a la empresa ALKACEN, Este hecho supone una vulneración del principio de calidad de datos, recogido en el artículo 4.3, que exige que los datos de carácter personal sean exactos y respondan con veracidad a la situación actual del afectado, si bien en este supuesto se trata de un error sin ninguna relevancia perjudicial para el denunciante. III Alega la representación de REPSOL la ausencia de culpabilidad en los hechos imputados, habiéndose producido como consecuencia de un error humano en la grabación de los datos. Sin embargo, tal alegación no puede ser admitida, ya que no cabe atribuir a dicha incidencia la condición de simple error material e involuntario, puesto que no se desprende de la conducta de la denunciada la existencia de un error invencible. Si bien se manifiesta que para evitar incidencias similares se ha modificado el sistema informático para que no se asocie un DNI a una entidad jurídica. Por ello la información tratada por REPSOL en sus ficheros no se ajustó al principio de exactitud y veracidad que proclama el artículo 4.3 de la LOPD. Es sabido que se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia. A este respecto, debe considerarse lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), según el cual “... sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias de 26/04/1990, 19/12/1991 y 04/07/1999, entre otras) y la jurisprudencia mayoritaria del Tribunal Supremo (Sentencia de 23/01/1998, entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Pues bien, en el supuesto examinado REPSOL no actuó con la diligencia que le era exigible pues asocio el DNI del denunciante a los datos de un tercero. Esta falta de diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a REPSOL sin que sea necesario que exista dolo en su actuación; puesto que en ningún caso debió vincular la citada factura al denunciante, debiendo poner especial cuidado en garantizar el principio de calidad del dato y de veracidad. IV De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
2. c)tipifica como infracción grave "Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave". A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. REPSOL ha incurrido en las infracción descrita ya que ha vulnerado dicho principio, consagrado en el artículo 4.3 de la LOPD, cuando vinculó los datos de facturación de un tercero asociándolos al DNI del denunciante y que encuentran su tipificación en el artículo 44.3.
3. c)de la citada Ley Orgánica. V El artículo 45.2, 4 y 5 de la LOPD establece que: "2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
4. a)El carácter continuado de la infracción.
5. b)El volumen de los tratamientos efectuados.
6. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
7. d)El volumen de negocio o actividad del infractor.
8. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
9. f)El grado de intencionalidad.
10. g)La reincidencia por comisión de infracciones de la misma naturaleza.
11. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
12. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
13. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7
14. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
15. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
16. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
17. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
18. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". REPSOL ha solicitado la aplicación subsidiaria del artículo 45.5 de la LOPD, como consecuencia de las circunstancias concurrentes en el presente caso (diligencia e implantación de mecanismos de protección de datos: que se manifiesta que en la actualidad el sistema informático no permite asociar un DNI a una entidad jurídica con el fin de no incurrir en estas situaciones en el futuro), que disminuyen de forma cualificada la antijuridicidad y la culpabilidad de la entidad denunciada. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, junto a la conducta diligente manifestada hay que tener en cuenta, como supuestos que atenúan significadamente la culpabilidad de la entidad denunciada: que se trató de un hecho puntual, debido a un error humano en la grabación de los mismos con la única consecuencia que se asoció su DNI a una factura a nombre de una empresa; y que no tuvo relevancia perjudicial para el denunciante. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD y, en especial, la falta de intencionalidad, se propone que se imponga una sanción en la cuantía de 2.000 euros por la infracción del art 4 de la LOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad REPSOL COMERCIAL DE PRODUCTOS PETROLIFEROS, S.A, por una infracción del artículo 4 de la LOPD, tipificada como grave en el artículo 44.3.c de la LOPD, una multa 2.000 € (dos mil euros) de conformidad con lo establecido en el artículo 45.5 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a REPSOL COMERCIAL DE PRODUCTOS PETROLIFEROS, S.A, y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es