REPOSICION-PS-00220-2013B

1/11 Procedimiento nº.: PS/00220/2013 ASUNTO: Recurso de Reposición Nº RR/00939/2013 Examinado el recurso de reposición interpuesto por la entidad GALP ENERGIA ESPAÑA, S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00220/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 31 de octubre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00220/2013 , en virtud de la cual se imponía a la entidad GALP ENERGIA ESPAÑA, S.A.U., una sanción de 50.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3

1. b), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en legal forma—ex art. 58 Ley 30/92--, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00220/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 08/06/12 se recibe en esta AEPD reclamación de la afectada en dónde pone de manifiesto que: “…se ha dado de alta un contrato de suministro de gas, electricidad y servicio de mantenimiento sin mi consentimiento, falsificando las firmas y no comprobando el DNI reflejado en dicho contrato…” –folio nº 1--. En apoyo de su pretensión aporta copia de la denuncia presentada ante las Fuerzas y Cuerpos de seguridad del Estado (Comisaria del CNP-Latina)—folio nº 6-- de fecha 28/05/12 en dónde manifiesta que: “Que se persona en estas dependencias como propietaria de la vivienda sita en (C/............1), la cual tiene arrendada desde hace aproximadamente dos años. Que ha tenido contratado el gas de dicho domicilio con la compañía de Gas natural y la electricidad con la compañía Iberdrola. Que el pasado día 08/04/12 le cargaron en su cuenta corriente una factura de la compañía Galp Energía de un importe de 6.93€, lo cual a la dicente le pareció muy extraño, ya que nunca contrató con dicha compañía”. Segundo. La Entidad denunciada—Galp—realiza alegaciones en fecha 31/05/13 en dónde considera que “parece deducirse que es la inquilina la que se identificó como Doña A.A.A., falsificó la firma y aportó todos los datos, incluida el nº de cuenta corriente”.—folio nº 64--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 Tercero. Existe entre las partes denunciadas—Galp y Partec-- un acuerdo de prestación de servicios de Fuerza de ventas de febrero del año 2012. El comercial interviniente en esta reclamación es D. B.B.B., con DNI ***DNI.1, que es quien por encargo de la Empresa--Partec—relación de naturaleza mercantil es el encargado de “concluir las operaciones especificadas por la Empresa, por cuenta ajena”. Cuarto. En los sistemas de información de la Entidad denunciada—Galp— constan lo siguientes servicios asociados a los datos de carácter personal de la denunciante.—folio nº 9--.  Servicio Gas (Contrato ***CONTRATO.1): 11/04/12----- 10/04/2013.  Electricidad (Contrato ***CONTRATO.2): 20/04/12 ------16/09/12. Quinto. Por parte de la Entidad denunciada—Galp—se han emitido facturas con los datos de carácter personal de la afectada. Datos del Cliente. Nº de Cliente ***CLIENTE.1. Nombre. A.A.A.. (C/............1) (Madrid). Datos bancarios: ***CCC.1. o Factura. ***FACTURA.1. Fecha de emisión. 11/10/12. (folio nº 21). Sexto. Se constata de la documentación aportada que existe reclamación de la denunciante, acreditado como primer contacto en fecha 08/05/12 (folio nº11). “Discrepancia en nueva contratación. Indica que no ha firmado ningún contrato con Galp, tanto para gas como para electricidad” Fecha 08/05/12. “El cliente sigue con la reclamación, indica que devolverá la factura, hasta que no le informen de quien ha cambiado el contrato. La clienta no vive en la casa y la inquilina le indica que ellos no han sido”. Fecha 12/05/12. TERCERO: La Entidad denunciada GALP ENERGIA ESPAÑA, S.A.U. ha presentado en fecha 27/11/13 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: Sobre Partec Representaciones S.L y la no concurrencia en Galp del elemento de la culpabilidad. Alega Partec que su labor “se realiza estrictamente bajo la responsabilidad de Galp y según sus instrucciones”, lo que no puede considerarse que la compañía permitiera o fomentara actuaciones fraudulentas en la contratación con potenciales clientes (…). Por tanto, la Compañía actuó de buena fe al tratar los datos del denunciante ya que no tenía motivos para dudar de la actuación de Partec y la validez del contrato que se le remetió por parte de la empresa. Se indicó a la clienta la forma de darse de baja solicitando el cambio de comercializadora por lo que el tratamiento de los datos continuó hasta que este cambio se produjo evidentemente para no cortar los suministros a un domicilio hasta que la compañía pudo comprobar la legitimidad del contrato entregado por Partec (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 Sobre los criterios establecidos en el art. 45.4 LOPD aplicados. Propone la AEPD sancionar a la compañía con 50.000€ debido a la falta de consentimiento de la titular de los datos, estimando que concurren circunstancias que justifican la aplicación de determinados criterios de graduación de las sanciones establecidos en el art. 45.4 LOPD, sobre los cuales se han de hacer las siguientes consideraciones: - En relación con la actividad de la Entidad infractora (…). En relación con el volumen de negocio (…) si bien es notorio que la Compañía pertenece a un gran grupo energético, hay que hacer constar que cuando comienza el negocio de prestación de servicios de gas y electricidad lo hace en un entorno jurídico diferente al de los países a los que está vinculada como multinacional (…). Sobre la motivación de la Resolución y la sanción y su desproporción. Si la AEPD considera que el cumplimiento del campo DNI es indispensable para probar el consentimiento del interesado al tratamiento de sus datos, debería haber pedido la subsanación en la denuncia. Por otro lado, es de señalar que la AEPD, en el momento de motivar la sanción a imponer tanto a Galp como a Partec, se limita a enumerar los criterios que considera concurren en ambos casos sin motivar adecuadamente su aplicación y razón de ser. El hecho de que la AEPD aplique los mismos criterios del art. 45.4 LOPD a ambas Entidades pero imponga sanciones absolutamente dispares, produce indefensión a la compañía por esta forma arbitraria de proceder, lo que afectaría a su derecho a la defensa recogido en el art. 24 de la CE (…). Por todo lo expuesto, la Compañía considera que el presente procedimiento administrativo sancionador incurre en causa de nulidad de pleno derecho puesto que se ha dictado una Resolución que carece de la motivación y congruencia necesaria lo que ha venido generando una indefensión a la parte denunciada (…). FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 II En el presente caso, se procede a analizar el recurso de reposición de fecha 27/11/13 de la Entidad denunciada—Galp—que trae causa de la reclamación de la afectada de fecha 08/06/12 en la que denuncia de manera sucinta: “…se ha dado de alta un contrato de suministro de gas, electricidad y servicio de mantenimiento sin mi consentimiento, falsificando las firmas y no comprobando el DNI reflejado en dicho contrato…” –folio nº 1--. Dicha reclamación dio lugar a las actuaciones—ex oficio—pertinentes en orden a determinar la “presunta” conculcación del art. 6.1 LOPD por parte de la Entidad denunciada—Galp--. “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Como medio de prueba admisible en Derecho, aporta la Entidad denunciada— Galp—copia del “presunto” contrato formalizado por la inquilina en fecha 23/02/12. De una mera comprobación de las firmas, la aportada por la denunciante en su DNI (folio nº 2 y 3 del Expediente) y reclamación ante la OMIC (Madrid)—folio nº 4 del Expediente—la misma no coincide prima facie con la plasmada en el contrato presentado por la Entidad denunciada: Galp Energia. En fase de instrucción se aporta por la denunciante copia del contrato de arrendamiento, con fecha de firma 01/04/11, constando como arrendador la propia denunciante y como arrendatarios—D. C.C.C. y Dña. D.D.D.—siendo según manifiesta la denunciante objeto de rescisión en fecha 19/03/13. Por consiguiente de la documentación aportada se infiere que el alta de la contratación fue realizada durante el periodo del contrato de arrendamiento a los arrendatarios que se encontraban en el mismo. Es cierto que Galp Energía no ha tenido contacto directo con los “clientes”, pues dichas contrataciones se efectuaron a través de la Entidad—Partec--, con la que había suscrito un contrato de prestación de servicios de fecha febrero 2012. Sin embargo, dicha circunstancia no puede servir para eximir de responsabilidad a la Entidad denunciada—Galp--, por cuanto como viene reiterando la jurisprudencia de la Audiencia Nacional, la responsabilidad en que, en su caso, haya podido incurrir dicho distribuidor o agente comercial al facilitar a Galp Energía datos de los denunciantes, sin su consentimiento, no la eximen del cumplimiento de la normativa en materia de protección de datos personales, ya que es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios, y la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar (aunque la recogida de datos se haga a través de terceros) y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente es la titular de los datos personales en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 En su condición de responsable del fichero y de tratamiento, Galp Energía tenía la obligación de asegurarse que contaba con el consentimiento de los denunciantes para tratar sus datos de carácter personal y a tal fin debió implementar y adoptar las medidas de control y verificaciones correspondientes. Por tanto, la AEPD ha demostrado de forma fehaciente que la Entidad denunciada—Galp—no contaba con el consentimiento de la titular de los datos para el alta de servicios/s alguno; es mas, durante el periodo en que el “comercial” procedió a la formalización del contrato: la vivienda no era ocupada por la afectada, por lo que de modo categórico se puede afirmar que la misma nunca firmó contrato alguno. Con ello queda acreditada la vulneración del contenido del art. 6.1 LOPD, lo que supone la quiebra al derecho a la presunción de inocencia de la Entidad denunciada— Galp Energía--. III La Entidad denunciada—Galp-alega en su escrito Recurso de forma categórica: falta de motivación y desproporción en la sanción. El art. 54 Ley 30/92, 26 de noviembre dispone que: “Serán motivados, con sucinta referencia de hechos y fundamentos de derecho:
2. a)Los actos que limiten derechos subjetivos o intereses legítimos”. La Entidad denunciada realizando una comparativa entre una actuación administrativa (AEPD) y el modo de proceder en la contratación (marco Derecho Civil) pretende justificar la “diligencia” en la contratación. Pues bien, sin mayor extensión en el asunto, en el marco del Derecho Administrativo rige el principio pro actione (en caso de duda a favor del actor), en aras de asegurar una cierta flexibilidad en el ejercicio de sus derechos por los administrados. En el presente caso, la afectada presenta en la AEPD en tiempo y forma, una reclamación en un modelo tipo de denuncia de la propia AEPD (folio nº 1) a la que acompaña de fotocopia legible (anverso y reverso) de su DNI (folios nº 2 y 3), así como, toda la documentación que estima oportuna en orden a sustentar su denuncia. En el marco de la contratación de servicios (Derecho Civil) que duda cabe que las formalidades son más estrictas: conocimiento de las condiciones de la contratación (oferta) por el comprador y la existencia de un contrato válido debidamente cumplimentado en todos sus campos esenciales. En el marco de la protección de Datos, por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). Así las cosas, la denunciante negó en todo momento que hubiese suscrito contrato alguno con la Entidad denunciada. De los datos que obran en el procedimiento se puede aseverar que en un sistema de contratación de los calificados como de “puerta fría” esto es de carácter presencial en el domicilio de la afectada, la misma no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 encontraba residiendo en la vivienda en el momento de formalizar el contrato de fecha 23/02/12, recayendo la carga de la prueba de la existencia del consentimiento en quien realiza el tratamiento, que deberá arbitrar los medios necesarios para que no quepa ningún duda de que efectivamente el consentimiento ha sido prestado. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la más acorde con lo dispuesto no solo en el citado art. 6.1 de la LOPD , sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Sobre cuestiones de naturaleza similar a las que nos ocupa se ha pronunciado la Audiencia Nacional (vgr. SAN 25/01/13 Rec. Nº 375/11). Finalmente, no cabe duda en cuanto al elemento subjetivo— culpabilidad--.Efectivamente, el principio de culpabilidad previsto en el art. 130.1 de la Ley 30/1992, de 26 de noviembre, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia del Tribunal Supremo (sentencias de 12 de diciembre de 1995, 14 de mayo de 1999 etc.) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que requieren la existencia de dolo o culpa. Existencia de culpa o falta de diligencia que se aprecia en el caso que nos ocupa, al haberse realizado el tratamiento de los datos personales de la denunciante sin su consentimiento. IV Finalmente, se procede a explicar de forma motivada la imposición de la sanción a la Entidad denunciada—Galp Energía S.A--, analizando pormenorizadamente los pasos dados. La infracción del art. 6.1 LOPD, ha sido acredita de forma fehaciente, se procedió a dar de alta un contrato, que llevaba aparejado una serie de servicios, sin el consentimiento de la afectada. El art. 44.3
3. b)LOPD, califica como de infracción grave, “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
4. a)El carácter continuado de la infracción.
5. b)El volumen de los tratamientos efectuados.
6. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
7. d)El volumen de negocio o actividad del infractor.
8. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
9. f)El grado de intencionalidad.
10. g)La reincidencia por comisión de infracciones de la misma naturaleza.
11. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
12. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
13. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Existe en el caso que nos ocupa, culpa o falta de diligencia que se aprecia, al haberse realizado el tratamiento de los datos personales de la denunciante sin haber adoptado la diligencia necesaria para constatar que contaba con el consentimiento inequívoco de la misma, por lo que, considera esta AEPD, que resulta acreditada la infracción atribuida a la parte actora—elemento subjetivo de la culpabilidad--. A lo expuesto, cabe añadir que la infracción apreciada se puede cometer no sólo de forma dolosa sino culposa como hemos reseñado anteriormente, y, por otra parte, en cuanto al volumen de tratamientos, la parte recurrente es una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que debe ser especialmente cuidadosa con dichos tratamientos, y que como ha declarado esta Sección, los perjuicios directamente causados o beneficios obtenidos por la parte recurrente son circunstancias que no admiten ser incluidas dentro de lo que deben ser objeto de valoración al amparo de lo previsto en el art. 45 de la LOPD ( Sentencia de 19 de octubre de 2005 , entre otras). Por consiguiente, la Entidad denunciada—Galp—es la Entidad responsable del fichero (art. 3
14. d)LOPD), la misma procedió a dar el alta de los servicios: Gas, electricidad y mantenimiento de Gas (ConfortGas Basico) sin desplegar actividad alguna en orden a corroborar la identidad de la afectada –consentimiento inequívoco--; no realizó actividad de verificación o comprobación alguna para constatar que contaba con el consentimiento inequívoco e informado de la misma (vgr. llamada de bienvenida, aportación del DNI de la afectada, etc); y procedió al tratamiento de los datos de la misma (vgr. emisión de facturas): hasta un total de 9 facturas. Item, a pesar de las reclamaciones de la misma ante el correspondiente servicio de reclamaciones de la Entidad denunciada (fecha 08/05/12)—folio nº 11— “Indica que no ha firmado ningún contrato con Galp, tanto para gas como para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 Electricidad…”. “la clienta vuelve a llamar porque está angustiada, nos indica que han firmado por ella, que se va a denunciar, que ya no espera más (…)”—folio nº 11--. (fecha 25/05/12). Los datos de la afectada siguieron estando en el sistema de información de la Entidad denunciada:    Servicio de electricidad: Baja 16/09/12. Servicio de Gas: Baja 01/07/12. Servicios de Gas (mantenimiento de aparato de Gas): cese fijado para el 10/04/13. Por tanto, una vez comunicada la “irregularidad” en la contratación, en ningún caso, anulan las facturas de consumo de energía una vez detectado el fraude (llegando a constar deuda pendiente en sus sistemas). En concreto, a la hora de motivar la sanción se tienen en cuenta los criterios establecidos en el art. 45.4 LOPD. Así se valoró por parte de esta AEPD, los siguientes:  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.—45.5
15. c)LOPD--. La Entidad denunciada Galp, es una Empresa de energía, que entre otras actividades distribuye gas y electricidad a los hogares, procediendo a estar en continuo contacto con datos de los “potenciales” consumidores  El volumen de negocio o actividad del infractor.—45.5
16. d)LOPD-- Con carácter ilustrativo la Entidad—Galp—obtuvo en el año 2012 unos beneficios netos de 359 millones de euros.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. En el presente caso, en los propios comunicados de la afectada con el servicio de reclamaciones consta “la cliente vuelve a llamar porqué está angustiada”—folio nº 11--; consta que a pesar de las reclamaciones tuvo que interponer denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado—folio nº 6—y reclamación ante la OMIC—folio nº 4--. No es el primer procedimiento de carácter sancionador en que se ven involucradas las dos principales Entidades denunciadas: Galp (responsable del fichero) y Partec Representaciones (encargada del tratamiento). Galp, cabe recordar que procede dar de alta una serie de servicios, sin contar con el consentimiento de la afectada—el contrato nunca llegó a ser firmada por la titular de los datos--, incorpora los datos a sus sistemas, emite diversas facturas y no realiza actividad de verificación alguna. Existen claras diferencias entre las dos Entidades, que se tuvieron en cuenta a la hora de imponer la sanción, siendo incuestionable la vulneración de la normativa vigente en materia de protección de Datos, al menos a título de culpa o falta de diligencia: Galp es la entidad responsable del fichero y tratamiento, pues decide sobre la finalidad, contenido y uso del tratamiento de los datos recabados por la empresa que le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 presta los servicios, y la que se beneficia de los datos de los clientes recogidos por tal encargada. Partec, es la Entidad encargada del tratamiento, que fue, al menos, plenamente negligente en el cumplimiento de la normativa vigente en materia de LOPD (vgr. constatar que los contratos estaban debidamente cumplimentados y que se acompañaba de la documentación—DNI o documento de naturaleza similar—requerida); siendo una mera intermediaria en la recepción y ulterior envío de los datos al responsable del fichero. La Entidad denunciada—Galp—es una empresa acostumbrada al tratamiento de datos de carácter personal (ofrece servicios a sus potenciales clientes de Gas, electricidad, mantenimiento, etc), mientras que, la Entidad –Partec-- se trata de una Task Forces—fuerza de ventas externa contratada para un objetivo temporal-- que tiene como objetivo la "INTERMEDIACION DEL COMERCIO DE PRODUCTOS DIVERSOS" con poca práctica en la materia de protección de Datos. Ente ambas Entidades existe, igualmente, una notable diferencia en el volumen de negocios: Galp según fuentes consultadas en el año 2012 obtuvo beneficios líquidos de unos 359 millones de euros y en el primer semestre del año 2013 obtuvo unos 162 millones de euros de beneficios; por su parte, Partec Representaciones S.L se trata de un Sociedad Limitada con un capital social suscrito según consta en el Registro Mercantil de 3.006€. Asimismo, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante. Si bien, inicialmente, podría valorarse la presunta “intervención” de la inquilina a la hora de aplicar el art. 45.5 LOPD, se procede a excluir la aplicación del mismo, dado que en el contrato aportado en los campos destinados a “Teléfono Móvil/Correo electrónico” consta el nombre de “D.D.D. ***TEL.1”—folio nº 5--, que se corresponde con el de la inquilina (arrendataria) del inmueble y no con la titular de los datos de carácter personal, por lo que difícilmente se puede entender que los datos se vinculen a alguien que no es el titular de los datos. Tampoco puede considerarse exculpada la entidad responsable del fichero al actuar a través de sus agentes distribuidores, pues de conformidad con el art. 43 LOPD los responsables del fichero y los encargados del tratamiento están sujetos a lo establecido en la Ley, por lo que se cumple el principio de responsabilidad del art. 130 de la Ley 30/1992 , que concreta el principio de culpabilidad incluido en el derecho fundamental formulado como principio de legalidad en materia sancionadora, del art. 25 de la Constitución. No cabe apreciar causa de nulidad del procedimiento—ex art. 62.1
17. a)Ley 30/92, 26 de noviembre, pues a lo largo del mismo se han admitido todas las alegaciones de la Entidad denunciada y ha tenido la posibilidad de acreditar su inocencia: no acreditando mediante medio de prueba admisible en Derecho que contaba con el consentimiento de la afectada para el tratamiento de sus datos de carácter personal o que implementó medida alguna tendente a verificar la identidad de la afectada y su voluntad inequívoca C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 al tratamiento de sus datos. Las “medidas” adoptadas por la Entidad denunciada—Galp—se remontan a la siguiente fecha—certificación Notarial de 23 octubre del año 2013—medidas que debieron estar implementadas ab initio, como corresponde a una Empresa que trata infinidad de datos de carácter personal y que han sido consideradas para no imponer una sanción de mayor cuantía. Sobre este aspecto, señalar además que una Certificación Notarial de una pantalla del sistema de información de la Entidad denunciada, no acredita fehacientemente los extremos señalados ni la implementación de las eventuales medidas de corrección. Por tanto, se estima adecuado a la gravedad de la infracción cometida, que ha sido debidamente acreditada, imponer una sanción que se cifra en la cuantía de 50.000€. Sanción que por otra parte está en el margen inferior de las sanciones calificadas como “graves”. IV Por lo tanto, en el presente recurso de reposición, la Entidad denunciada GALP ENERGIA ESPAÑA, S.A.U. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, motivo por el que procede desestimar el presente Recurso de reposición. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad denunciada --GALP ENERGIA ESPAÑA, S.A.U--. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 31 de octubre de 2013, en el procedimiento sancionador PS/00220/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad --GALP ENERGIA ESPAÑA, S.A.U--.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es