1/15 Procedimiento nº.: PS/00242/2013 ASUNTO: Recurso de Reposición Nº RR/00991/2013 Examinado el recurso de reposición interpuesto por la entidad PARTEC Representaciones S.L contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00242/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 11 de noviembre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00242/2013 , en virtud de la cual se imponía a la entidad PARTEC, una sanción de 3.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3
- b)de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 13/11/13 según consta acreditado en el Expediente de referencia, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00242/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 28/06/12 se recibe en esta AEPD reclamación de la afectada en dónde pone de manifiesto que: “Galp Energía me factura el servicio de gas y electricidad que tengo contratado con Gas Natural Fenosa. No he contratado nada con Galp, ni telefónica, ni físicamente, han realizado un tratamiento de mis datos sin consentimiento, para una supuesta firma de un contrato que yo no he firmado”.—folio nº 1--. En apoyo de su pretensión aporta copia de dos facturas emitidas por la Entidad denunciada—Galp--, con los datos de carácter personal de la afectada. A.A.A.. (C/........................1)—Madrid--. Nº de factura: ***FACTURA.1. Fecha de emisión 19/06/12. Total importe: 63,76€. Nº de factura: ***FACTURA.2. Fecha de emisión: 29/04/12. Total importe: 40,92€. Segundo. A raíz de inspección realizada por los Servicios de Inspección de la AEPD se constata que en los sistemas de información de la Entidad denunciada—Galp—constan los siguientes servicios “presuntamente” contratados por la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 Suministro de gas con fecha de alta 13/02/12 y fecha de baja 11/06/12 por cambio de comercializadora. Suministro eléctrico con fecha de alta 10/04/12 y fecha de baja 17/07/12 por cese en el suministro. Servicio de mantenimiento Confortgas con fecha de alta 24/01/12 y fecha de baja 23/09/12. Tercero. La Entidad denunciada-Galp-- ha tratado los datos de carácter personal de la afectada mediante la emisión de facturas. Así consta aportado al presente procedimiento (folio nº 2 y 3) Nº de factura: ***FACTURA.3. Fecha de emisión. 19/06/12. Total factura: 63,76€. Nº de factura: ***FACTURA.2.Fecha de emisión. 29/04/12. Total factura: 40,90€ Cuarto. En los sistemas de información de la Entidad denunciada—Galp—consta como reclamaciones y quejas de la afectada las siguientes: o o Con fecha 25/07/12 consta que el cliente niega haber contratado los servicios. Con fecha 10/09/12 llega escrito remitido por la Dirección General de Consumo de la CCAA de Madrid en la que le comunican que el cliente no ha solicitado el cambio de compañía. Quinto. La Empresa encargada de realizar la formalización del contrato se trata de la empresa—Partec Representaciones S.L--, en concreto a través del comercial (relación entre dos empresarios individuales): D. B.B.B., titular del DNI ***DNI.1. La misma no aporta copia del DNI o documento de naturaleza similar del titular de los datos de carácter personal. Sexto: De la mera comparación de las firmas aportadas (folio nº 1 reclamación en la AEPD de la afectada) y las que constan plasmadas en el contrato presentado (folios por la Entidad denunciada Galp (responsable del fichero) se puede aseverar que las mismas no coinciden. TERCERO: La Entidad denunciada—PARTEC Representaciones S.L -- ha presentado en fecha 12/12/13, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: De la Nulidad de las actuaciones. De las Notificaciones a través del servicio de Notificación privada MRW. El pasado 13 de noviembre de 2013, último día del plazo que la AEPD tenía para resolver este expediente, se hizo entrega a mi mandante de dicha Resolución en las Oficinas de la AEPD. Con el número de albarán y a través de Internet en la página de MRW buscamos el historial de envío para comprobar que había sucedido con estos intentos negativos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 notificación ya que mi mandante no tuvo constancia de estas notificaciones hasta que lo lee en la Resolución. Los dos intentos de notificación se han realizado sin respetar los plazos, ni el método de notificación, además de que la empresa privada de mensajería MRW no ha dejado constancia de dichos intentos de notificación en el Expediente que nos ocupa. Tras una serie de comprobaciones, consistentes en consultar el Registro de empresas postales, descubrimos que la Entidad MRW no está inscrita dentro del mismo, requisitos indispensable para poder realizar este tipo de servicios postales. Las comunicaciones realizadas por una Sociedad como MRW carecen de la presunción de veracidad y fehaciencia. En atención a todo lo dicho es necesario dictar la nulidad de las actuaciones, puesto que se ha violado de forma flagrante el art. 62.2, ya que se vulnera el contenido del art. 59.1 de la Ley 30/92 porque las notificaciones de MRW no tienen veracidad y fehaciencia suficiente para acreditar que se realizaron las notificaciones. De la falta de responsabilidad de Partec. La composición del caso que nos ocupa hace que el grado de responsabilidad de Partec sea nulo, o al menos debe ser compartido con el resto de intervinientes en el tratamiento. De tal modo que tanto el comercial interviniente, como la Entidad Unisono Soluciones de Negocio, S.A, deberían ser responsables dentro del Expediente que nos ocupa, cuestión que ha sido solicitada por mi mandante en la primera fase de este procedimiento y que la AEPD no ha tenido a bien estimar; ello origina un grado de indefensión en mi mandante. Esta parte no puede aportar al momento del procedimiento ningún documento puesto que en el supuesto que tuviera en poder algún documento, estaría cometiendo una infracción por el mero hecho de su tenencia. En la Resolución se dicta sanción de tres mil euros a mi mandante, por “no estar en disposición de aportar como medio de prueba: copia del DNI o documento de naturaleza similar, que acredite que contaba con el consentimiento inequívoco de la afectada”. Por todo ello, solicita tenga por interpuesto el presente Recurso en la que se deniegan las medidas probatorias solicitadas por esta parte y, realizados los trámites oportunos, lo admita ordenando las medidas probatorias en su momento solicitadas, a sus efectos. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 II Antes de entrar en el fondo del asunto que nos ocupa, es necesario entrar a valorar como cuestión previa la solicitud de la Entidad denunciada: Nulidad de la Notificación. Con fecha 11/11/13 se procede por el Director de la AEPD ha emitir Resolución sancionadora contra la Entidad denunciada, por vulneración del contenido del art. 6.1 LOPD. La misma trae causa de la “denuncia” presentada en esta AEPD con fecha 28/06/12— dies a quo- momento en que el órgano administrativo tiene conocimiento de una “presunta” infracción en materia de LOPD. El Acuerdo de Inicio firmado por el Director de la AEPD en el presente procedimiento está fechado: 13/05/13, esto es, dentro del plazo de los 12 meses regulado para realizar actuaciones previas al correspondiente procedimiento sancionador—art. 122.4 RLOPD-El art. 128 RD 1720/2007, 21 de diciembre (RLOPD) dispone que: “El plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el intento de notificación”. A tal efecto, el 20.6 RD 1398/1993, 4 de agosto dispone que: “Si no hubiese recaído resolución transcurridos seis meses desde la iniciación, teniendo en cuenta las posibles interrupciones de su cómputo por causas imputables a los interesados o por la suspensión del procedimiento a que se refieren los artículos 5 y 7, se iniciará el cómputo del plazo de caducidad establecido en el artículo 43.4 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común”. Por tanto, la duración del procedimiento sancionador era hasta la siguiente fecha: 13/11/13—noviembre 2013- (dies ad quem), momento de vencimiento del plazo establecido legalmente para la Resolución del procedimiento. En el Expediente administrativo asociado al PS/00242/13 consta debidamente acreditado el primer intento de notificación a través del Servicio de Mensajería—MRW--: día 12/11/13, sin que se pudiera efectuar la notificación administrativa en el domicilio señalado por el “imputado” por estar Ausente.—folio nº 155 Expediente-- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Consta como segundo intento de notificación a efectos administrativos con fecha 12/11/13 en una hora distinta en el domicilio fijado por el propio afectado en sede administrativa: (C/........................2)—Madrid--, no siendo recepcionada la misma por el afectado por estar “Ausente”.—folio nº 156 Expediente-Tras los dos intentos frustrados de notificación por no hallarse nadie en el domicilio facilitado se procedió por el Servicio de mensajería—MRW—a devolver a esta AEPD el envió, acreditando documentalmente el doble intento de notificación, que obra en el expediente. Finalmente, ante los intentos infructuosos de la notificación de la Resolución del Director de la AEPD citada, con motivo de la comparecencia personal del afectado en sede de la AEPD el día 13/11/13, se procedió a notificarle en mano la copia de la Resolución, que fue firmada por el propio afectado tras varios intentos de rechazo de la misma y tras poner en su conocimiento las consecuencias legales del rechazo de la misma, con fecha 13/11/13; esto es, dentro del plazo marcado legalmente. Sobre este último aspecto, traer a colación lo dispuesto en el apartado 4º del art. 59 Ley 30/92 que prevé las consecuencias del “rechazo” de la notificación de manera que “se hará constar en el expediente, especificándose las circunstancias del intento de notificación y se tendrá por efectuado el trámite siguiéndose el procedimiento”. El art. 59.1 Ley 30/92, 26 de noviembre dispone que: “Las notificaciones se practicarán por cualquier medio que permita tener constancia de la recepción por el interesado o su representante, así como de la fecha, la identidad y el contenido del acto notificado. La acreditación de la notificación efectuada se incorporará al expediente”. Igualmente, interesa destacar lo establecido en el artículo 58.4 de la citada Ley 30/1992: “Sin perjuicio de lo establecido en el apartado anterior, y a los solos efectos de entender cumplida la obligación de notificar dentro del plazo máximo de duración de los procedimientos, será suficiente la notificación que contenga cuando menos el texto íntegro de la resolución, así como el intento de notificación debidamente acreditado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 Por consiguiente, dentro del plazo marcado legalmente—6 meses desde el acuerdo de Inicio del Director de la AEPD—se procedió a notificar en legal forma al propio afectado, como administrador solidario de la Entidad denunciada—Partec--: D. C.C.C.; dicha Resolución, que contenía el texto íntegro de la misma y el correspondiente “pie de recursos” a los efectos legales oportunos. Como medio de prueba admisible en Derecho de los “hechos” anteriormente expuestos consta en el presente Expediente el “recibí” firmado por el propio afectado de su puño y letra, con su firma y DNI vinculado al mismo, en presencia de testigos cualificados que le informaron en legal forma de todos los extremos oportunos; por tanto dentro del plazo de los 10 días siguientes a la firma de la Resolución por el Director de la AEPD se le notificó en legal forma la misma, indicándole la posibilidad de interponer el correspondiente Recurso. En el Expediente administrativo consta como folio nº 153 la firma del “recurrente” como medio de prueba admisible en Derecho que acredita lo aseverado en el párrafo precedente. Por tanto, no se ha visto afectado derecho alguno en el ejercicio del derecho a la defensa de la Entidad denunciada—Partec--, pues en todo momento, ha tenido conocimiento de los hechos que se le imputaban, ha podido formular las alegaciones oportunas y todos los actos administrativos se le han notificado en legal forma. La notificación del acto administrativo—Resolución del Director de la AEPD de fecha 11/11/13—se notifico de forma personal al propio “interesado” en la sede de la Agencia, dentro del plazo marcado legalmente. A mayor abundamiento, la única prueba aportada por la Entidad denunciada— Partec—que califica como Documento nº 1 trae reflejado un número de envío en “verde”: **********1, que no se corresponde con el número de control asociado al envío efectuado por la AEPD a través del Servicio de Mensajería MRW—**********2--. Respecto a la validez de las notificaciones realizadas por Servicios de Mensajería privados—MRW—cabe traer a colación el siguiente pronunciamiento judicial: “Es importante precisar que pese a la reserva legal establecida a favor de operador de servicio público universal, la notificación efectuada por dicha vía puede ser válida, pues en definitiva lo relevante es acreditar que la comunicación ha llegado a su destino y que contiene todas las menciones exigidas por la Ley”—STJ Castilla La Mancha 2006--. A mayor abundamiento, es necesario también detenerse en la lectura de la siguiente Sentencia—STSJ Baleares 575/2012, 4 de septiembre--. “La ausencia en el domicilio del interesado de persona alguna que se haga cargo de la notificación no puede frustrar la actividad administrativa, habida cuenta, por otra parte, que el principio de buena fe en las relaciones administrativas impone a los administrados un deber de colaboración con la Administración en la recepción de los actos de comunicación que aquélla les dirija y que el intento fallido de notificación ha de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 ir seguido de la introducción en el correspondiente casillero domiciliario del aviso de llegada, en el que se hará constar las dependencias del servicio postal donde el interesado puede recoger la notificación ". Por consiguiente, el Tribunal Supremo, ha establecido la doctrina legal de que la expresión en una hora distinta determina la validez de cualquier notificación que guarde una diferencia de al menos sesenta minutos a la hora en que se practicó el primer intento de notificación”. Cabe recordar también que en este ámbito—como en toda relación Administraciónciudadano—rige el principio de buena fe. De éste deriva un deber de colaboración con la Administración respecto a la recepción de los actos de comunicación, evitando el obstruccionismo en la práctica de las notificaciones administrativas (clara manifestación de mala fe). Esta Agencia no quiere dejar pasar por alto la actuación del “imputado” en materia de notificaciones administrativas; al margen de la fijación de hasta tres domicilios distintos, que han venido resultando ineficaces a los efectos de notificación; el propio interesado se personaba a “voluntad” en sede de la AEPD, en dónde siempre se le atendió en el ejercicio de sus derechos y en el cumplimiento de sus obligaciones. A raíz de la notificación, en sede administrativa, mediante la entrega en mano de la Resolución referida, el interesado procedió a designar a un “representante” el cual sólo está autorizado para la recogida de la documentación concerniente a la copia del Expediente. Este último ha venido manifestando de forma reiterada que pertenece a un Despacho de Abogados, con sede física en la ciudad de Madrid, que debe considerarse el encargado de la representación legal de los “asuntos” de D. C.C.C.. Por todo lo expuesto, se ha de proceder a desestimar la solicitud de la entidad recurrente de Nulidad de la Notificación administrativa, pues ésta se realizó conforme a las pautas legales establecidas en el plazo marcado. III En segundo término, alega la Entidad denunciada—Partec—la total falta de responsabilidad de la misma. En el presente caso se procede a examinar la reclamación de fecha 28/06/12 en la que la afectada denuncia de manera sucinta que: “Galp Energía me factura el servicio de gas y electricidad que tengo contratado con Gas Natural Fenosa. No he contratado nada con Galp, ni telefónica, ni físicamente, han realizado un tratamiento de mis datos sin consentimiento, para una supuesta firma de un contrato que yo no he firmado”.—folio nº 1--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 En apoyo a lo manifestado aporta como medio de prueba admisible en derecho dos facturas emitidas por la Entidad denunciada—Galp Energía--, en dónde se plasman los datos de carácter personal de la misma (Nombre, apellidos, dirección, nº de cuenta bancaria, etc). o o Nº de factura: ***FACTURA.1. Fecha de emisión 19/06/12. Total importe: 63,76€. Nº de factura: ***FACTURA.2. Fecha de emisión: 29/04/12. Total importe: 40,92€. La afectada manifiesta expresamente (folio nº 1) en su escrito de reclamación ante esta AEPD: “Han realizado un tratamiento de datos sin mi consentimiento, para una supuesta firma de un contrato que yo no he firmado” (folio nº 1). “…me cobran en una cuenta que no es la mia…”(folio nº1) La única prueba objetiva aportada por la Entidad denunciada—Galp—en el presente caso, es la copia de “contrato” con presunta rúbrica de la denunciante. Esta Agencia –en línea con la jurisprudencia concurrente- tiene establecido como criterio en la materia que nos ocupa, que la mera existencia de un contrato firmado no garantizaba plenamente la protección de los datos de carácter personal de los titulares de los mismos; por lo que en aras de una mayor protección y garantía del “consentimiento inequívoco” se requiere la aportación junto con el contrato, de la existencia de fotocopia del D.N.I o documento de naturaleza similar, como diligencia mínima a desplegar por cualquier Entidad a la hora de asegurar la contratación de cualquier servicio. Dicho D.N.I o documento de naturaleza similar deberá ser el del titular de los datos, deberá estar vigente (según fecha impresa en el mismo) en el momento de la contratación del servicio, deberá constar anverso/reverso del mismo y la fotocopia deberá ser nítida, sin manipulación o tachaduras en los datos o en la fotografía del afectado/a. En apoyo de lo argumentado, baste citar los siguientes pronunciamientos de la Audiencia Nacional: - Así la SAN 10/06/2011 en dónde se establece “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permita comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más, la firma de contrato se corresponde con el inquilino de la vivienda”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 - También en idénticos términos, la SAN 08/07/12 “No es obligatoria copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, como ya señalamos en la SAN de 27 de abril 2006 (Rec. 54/2005) deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la Entidad recurrente”. - La SAN 13/05/11 esgrime lo siguiente “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de Servcios SA no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos era efectivamente la citada persona y que la misma consintió tal contratación”. Por tanto, en su condición de responsable del fichero y de tratamiento,—Galp—tenía la obligación de asegurarse que contaba con el consentimiento del denunciante para tratar sus datos de carácter personal –o al menos prueba de la diligencia en su obtención- y a tal fin debió implementar y adoptar las medidas de control y verificación correspondientes. Tal exigencia vincula también a la entidad que se los suministro—Partec Representaciones S.L—como prestador de servicios de fuerzas de venta. Partec Representaciones S.L “es un prestador de servicio de fuerza de ventas de Galp Energía España S.A.U”. Dentro del marco de la Legislación vigente en materia de protección de datos ocuparía la figura de “encargado del tratamiento”. El art. 3 letra
- g)LOPD—LO 15/99—define la figura del encargado del tratamiento de la siguiente manera: “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el caso que nos ocupa, la Entidad Partec a su vez encargo la realización y toma de los datos a un agente comercial: D. B.B.B., siendo la relación entre ambos de carácter mercantil (relación entre dos Empresarios independientes). “El agente se obliga a actuar lealmente y de buena fe velando por los intereses de Partec Representaciones S.L por cuya cuenta actúa, en el ejercicio de la actividad encomendada”. Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía—(vgr. aportado en el PS/00183/2013). A saber: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado”. La Entidad denunciada—Partec—no está en disposición de aportar copia del DNI o documento de naturaleza similar que acredite de forma fehaciente que contaba con el consentimiento inequívoco e informado del titular de los datos. En interpretación del art. 6.1 LOPD, la Audiencia Nacional ha venido manteniendo de forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento de inequívoco. La vulneración del art. 6.1 LOPD por parte de PARTEC se deriva de la falta de consentimiento del denunciante para tratar los datos personales y no acreditar la existencia de consentimiento voluntario e inequívoco a la hora de cambiar de Entidad suministradora de gas, electricidad y servicio de mantenimiento. Cabe recordar, en este sentido, que el titular de los datos es el que tiene el poder de disposición de los mismos—principio del consentimiento—y, asimismo, en esta materia debe operar el derecho a la información en el momento de la recogida de sus datos, siendo también responsable en este caso la Entidad --PARTEC—encargada del tratamiento—de informar al afectado/s a qué usos van a ser sometidos los mismos. Por tanto, la actuación de la Entidad denunciada—Partec—fue manifiestamente negligente pues no desarrollo ninguna medida tendente a constatar que contaba con el consentimiento del afectado, como debería haber realizado una Entidad con el objeto social que desarrollaba (estándar de diligencia objetivo mínimo requerido para una Entidad del Sector). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 IV Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 V Ha quedado acreditado durante la instrucción del procedimiento, que Partec a través de un comercial “encargado de concluir las operaciones especificadas por la empresa, por cuenta ajena” procedió a dar de alta un contrato de suministro de gas, electricidad y mantenimiento de servicios, sin contar con el consentimiento inequívoco del mismo. Independientemente de los términos de los contratos suscritos entre sí por las dos empresas afectadas, lo que debe concluirse es que cuando cualquier de ellas lleva a cabo el tratamiento de los datos personales debe garantizar el cumplimiento de las exigencias de consentimiento adoptando la diligencia necesaria. En el presente caso, el contrato no ha sido firmado por el titular de los datos, no se aporta copia del DNI o documento de naturaleza similar, no se realiza actividad de comprobación alguna, ni por la Entidad responsable del fichero—Galp--, ni por la entidad encargada del tratamiento—Partec— y el nº de cuenta corriente aportado no está vinculado al afectado. Las obligaciones de la Entidad encargada del tratamiento—Partec—estan claramente delimitadas en el Acuerdo entre Galp-Partec de fecha 15/02/12, que procedemos a reproducir: “cumplir todas las obligaciones previstas en la Legislación aplicable y, en particular deberá cumplir con las obligaciones previstas en la Legislación vigente sobre protección de Datos de carácter personal (…)”. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo) sin que corresponda a esta Agencia el análisis de su relación con el comercial correspondiente. “…que los administradores incumplieron las obligaciones que se derivan de la LSA (…) no actuando con la diligencia exigible a un ordenado comerciante…no debió aceptar el cargo para el que se le nombraba, o bien renunciar al mismo por falta de contenido material, pues la Legislación es clara sobre las obligaciones que pesan sobre los administradores, las cuales no desaparecen aunque sean otras personas la que llevan la efectiva gestión de la Empresa” –STSJ Asturias 24/05/2006--. Por tanto queda acreditado que la Entidad-Partec—ha tratado datos de carácter personal sin diligencia en la obtención del consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energía o la posible repercusión a los “comerciales” bajo su dirección organizativa. A tenor de lo expuesto, queda acreditada indubitadamente la comisión de la infracción descrita en el art. 44.3
- b)LOPD por parte de la Entidad—Partec Representaciones S.L--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 Recuérdese que las sanciones administrativas son imputables no sólo a título de dolo o culpa sino incluso de “mera inobservancia” –art. 131 Ley 30/92 RJ-PAC—y, por tanto, la Empresa Partec Representaciones S.L, no ha podido probar la obtención del consentimiento del afectado, por lo que debe considerarse vulnerado el principio del consentimiento regulado en el art. 6.1 LOPD. El art. 45.5 LOPD establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos (…)”. En concreto, se tiene en cuenta la aplicación del art. 45.5 letra
- a)de la LOPD “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer a la Entidad—Partec—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto: La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal.—45-4
- c)LOPD--. El volumen de negocios o actividad del infractor.—45.4
- d)LOPD--. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.—45.4
- h)LOPD--. En el presente caso, la Entidad denunciada—Partec—la misma ostenta desde el punto de vista de su naturaleza jurídica, la condición de “encargado del tratamiento” (art. 3
- g)LOPD; el volumen de negocio de la misma es considerablemente inferior a la Entidad —responsable del fichero—(Galp): 3.006€ de capital social desenvolsado; dispone de una menor práctica y conocimiento en la materia de protección de Datos que una gran compañía habituada al tráfico jurídico con datos personales. Por todo ello se acordó en la resolución recurrida imponer a la Entidad denunciada—Partec Representaciones S.L—una sanción de 3.000€., sanción que por su cuantía se establece dentro de la escala de las infracciones leves. Por lo tanto, en el presente recurso de reposición, la Entidad denunciada PARTEC Representaciones S.L no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada en cuanto al hecho “esencial”: el incumplimiento por parte del “encargado del tratamiento” (art. 3 g LOPD) LOPD) de las obligaciones asumidas contractualmente en materia de protección de Datos de carácter personal, motivo por el que se procede a la desestimación del presente Recurso. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad recurrente –PARTEC Representaciones S.L-- contra la Resolución de esta Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 Protección de Datos dictada con fecha 11 de noviembre de 2013, en el procedimiento sancionador PS/00242/2013. SEGUNDO: NOTIFICAR Representaciones S.L. la presente resolución a la entidad PARTEC De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es