1/12 Procedimiento nº.: PS/00242/2013 ASUNTO: Recurso de Reposición Nº RR/01005/2013 Examinado el recurso de reposición interpuesto por la entidad GALP ENERGIA ESPAÑA S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00242/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 11 de noviembre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00242/2013 , en virtud de la cual se imponía a la entidad GALP ENERGIA ESPAÑA S.A.U., una sanción de 50.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3 b), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en legal forma—ex art. 58 y 59 Ley 30/92--, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00242/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 28/06/12 se recibe en esta AEPD reclamación de la afectada en dónde pone de manifiesto que: “Galp Energía me factura el servicio de gas y electricidad que tengo contratado con Gas Natural Fenosa. No he contratado nada con Galp, ni telefónica, ni físicamente, han realizado un tratamiento de mis datos sin consentimiento, para una supuesta firma de un contrato que yo no he firmado”.—folio nº 1--. En apoyo de su pretensión aporta copia de dos facturas emitidas por la Entidad denunciada—Galp--, con los datos de carácter personal de la afectada. A.A.A.. (C/.......................1)—Madrid--. Nº de factura: ***FACTURA.1. Fecha de emisión 19/06/12. Total importe: 63,76€. Nº de factura: ***FACTURA.2. Fecha de emisión: 29/04/12. Total importe: 40,92€. Segundo. A raíz de inspección realizada por los Servicios de Inspección de la AEPD se constata que en los sistemas de información de la Entidad denunciada—Galp— constan los siguientes servicios “presuntamente” contratados por la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Suministro de gas con fecha de alta 13/02/12 y fecha de baja 11/06/12 por cambio de comercializadora. Suministro eléctrico con fecha de alta 10/04/12 y fecha de baja 17/07/12 por cese en el suministro. Servicio de mantenimiento Confortgas con fecha de alta 24/01/12 y fecha de baja 23/09/12. Tercero. La Entidad denunciad-Galp-- ha tratado los datos de carácter personal de la afectada mediante la emisión de facturas. Así consta aportado al presente procedimiento (folio nº 2 y 3) Nº de factura: ***FACTURA.1. Fecha de emisión. 19/06/12. Total factura: 63,76€. Nº de factura: ***FACTURA.2. Fecha de emisión. 29/04/12. Total factura: 40,90€ Cuarto. En los sistemas de información de la Entidad denunciada—Galp— consta como reclamaciones y quejas de la afectada las siguientes: o o Con fecha 25/07/12 consta que el cliente niega haber contratado los servicios. Con fecha 10/09/12 llega escrito remitido por la Dirección General de Consumo de la CCAA de Madrid en la que le comunican que el cliente no ha solicitado el cambio de compañía. Quinto. La Empresa encargada de realizar la formalización del contrato se trata de la empresa—Partec Representaciones S.L--, en concreto a través del comercial (relación entre dos empresarios individuales): D. B.B.B., titular del DNI ***DNI.1. La misma no aporta copia del DNI o documento de naturaleza similar del titular de los datos de carácter personal. Sexto: De la mera comparación de las firmas aportadas (folio nº 1 reclamación en la AEPD de la afectada) y las que constan plasmadas en el contrato presentado (folios por la Entidad denunciada Galp (responsable del fichero) se puede aseverar que las mismas no coinciden. TERCERO: La Entidad sancionada GALP ENERGIA ESPAÑA S.A.U. ha presentado en fecha 16/12/13 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: Defecto de forma de la denuncia no subsanado. No es hasta el 25/06/13, que la AEPD remite solicitud de subsanación a la denunciante para que aporte copia de su DNI. No consta en el procedimiento que la denunciante cumpliera con dicho requerimiento, aún así, la AEPD siguió adelante con el procedimiento administrativo sancionador contra la compañía. Se debería haber estimado como no subsanado el defecto y, en consecuencia, haber ordenado el Archivo de las actuaciones puesto que la carga de la prueba con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 que partía la AEPD carecía del peso suficiente para quebrar la presunción de Inocencia de la compañía al no estar en posesión de la información indispensable para el expediente. Produce total indefensión a esta parte que la AEPD deniegue la validez de los contratos firmados por la Compañía y sus clientes sin que se acompañen copias del DNI del cliente, cuando la propia AEPD abre procedimientos en virtud de denuncia que también carecen de un documento que acredite la identidad del denunciante. Por todo lo expuesto, la compañía considera que el presente procedimiento administrativo sancionador incurre en causa de nulidad de pleno derecho o, en su defecto y de forma subsidiaria, en la anulabilidad del acto administrativo puesto que se ha admitido a trámite una denuncia que carecía de la documentación obligada (DNI). De la vulneración del derecho a la presunción de Inocencia. La única prueba de cargo que presenta la AEPD es la negativa de la reclamante a la existencia del contrato, contrato que para la compañía tenía todos los datos necesarios para su validez. Es de recordar nuevamente que la denunciante no aportó la información requerida por la AEPD para la confirmación de su reclamación por lo que la simple negación de la validez del contrato se permite en la prueba que permite a la AEPD abrir el presente procedimiento sancionador. No concurrencia en Galp del elemento de la culpabilidad. La compañía desea subrayar el hecho de que la contratación se realizó por parte del encargado del tratamiento—Partec—y que para la compañía existía documentación aportada bajo apariencia de legalidad, lo que elimina el elemento subjetivo de la culpabilidad necesario para el ejercicio de la potestad sancionadora. Por tanto la compañía actuó de buena fe al tratar los datos de la denunciante ya que no tenía motivos para dudar de la actuación de Partec (…). Estos hechos deberían haber sido tenidos en cuenta por la AEPD a la hora de establecer las responsabilidades y la ausencia de culpabilidad de la compañía al no concurrir dolo o culpa. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 II En primer lugar, antes de entrar en la valoración y enjuiciamiento de los “hechos” que fueron objeto de denuncia hay que entrar a examinar la solicitud de la Entidad recurrente: Defecto de forma de la denuncia no subsanado. Cabe traer a colación, la lectura del art. 11.1
- d)del RD 1398/1993, 4 de agosto— REPEPOS—que al tratar las formas de iniciación de los procedimientos sancionadores, define la “Denuncia” como: “El acto por el que cualquier persona, en cumplimiento o no de una obligación legal, pone en conocimiento de un órgano administrativo la existencia de un determinado hecho que pudiera constituir infracción administrativa”. Por tal motivo, la denunciante puso en conocimiento en fecha—28/06/12—los siguientes hechos a objeto de su enjuiciamiento en el marco de la LOPD por esta AEPD. “Galp Energía me factura el servicio de gas y electricidad que tengo contratado con Gas Natural Fenosa. No he contratado nada con Galp, ni telefónica, ni físicamente, han realizado un tratamiento de mis datos sin consentimiento, para una supuesta firma de un contrato que yo no he firmado”.—folio nº 1--. A mayor abundamiento, el art. 70 Ley 30/92—LRJ-PAC-- al regular el contenido de las solicitudes de los interesados establece el mismo como sigue: “1. Las solicitudes que se formulen deberán contener: a. Nombre y apellidos del interesado y, en su caso, de la persona que lo represente, así como la identificación del medio preferente o del lugar que se señale a efectos de notificaciones. b. Hechos, razones y petición en que se concrete, con toda claridad, la solicitud. c. Lugar y fecha. Firma del solicitante o acreditación de la autenticidad de su voluntad expresada por cualquier medio. d. Órgano, centro o unidad administrativa a la que se dirige. (…)”. Por tanto, en ninguno de los dos preceptos examinados se exige la aportación por el “denunciante” de la copia en vigor de su DNI o documento de naturaleza similar. Por consiguiente, no tiene cabida jurídica la argumentación de vulneración del art. 71 Ley 30/92 “Subsanación de la solicitud” esgrimida por la Entidad recurrente pues la solicitud de la denunciante ante la AEPD: cumplía con todos los requisitos marcados legalmente. A los efectos que nos ocupan se consideran infracciones administrativas en materia de LOPD, las contempladas como tales en la LOPD—LO 15/99—en concreto los “hechos” denunciados serían subsumibles en el tipo infractor descrito por el Legislador en el art. 44.3
- b)LOPD. “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, pudiendo ser sancionada con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. Por consiguiente, no nos encontramos ante un caso de denuncia anónima, puesto que en el caso de los procedimientos sancionadores el apartado
- d)del art.11.1 del R.D.1398/1993, de 4 de Agosto del Reglamento del Procedimiento del ejercicio de potestad sancionadora señala que “las denuncias deberán expresar la identidad de la persona o personas que las presenten”. En el caso que nos ocupa, el escrito es presentado por Doña A.A.A. mediante el formulario tipo de denuncias de la propia AEPD, indicando los “presuntos” hechos infractores, el nombre y apellidos de la denunciante, la fecha y la firma de esta a píe de página y acompañando la documentación que estimó oportuna en Derecho para sustentar la misma. Cabe recordar que el procedimiento administrativo sancionador se inicia de oficio por parte del órgano administrativo competente. Si hay denuncia anónima, y así y todo da lugar a la iniciación de procedimiento de oficio, la sanción impuesta no se invalida por tal irregularidad formal (Sentencia de la Audiencia Nacional del 16 de Noviembre del 2011,Rec. 119/2011). Con relación a la nulidad del acto administrativo solicitada en vía de Recurso por la Entidad-Galp Energía--, cabe señalar que la nulidad tiene carácter excepcionalTS 15/06/90. RJ 5403--.Los vicios que conducen a la nulidad del acto son relativamente tasados, pues solo pueden considerarse como defectos generadores de nulidad los supuestos previstos legalmente—en la LRJ-PAC o en otra disposición con rango de Ley--. Alega la Entidad recurrente que se le ha producido una lesión en su derecho a la defensa—ex art. 24 CE—“causándole indefensión” al no haber requerido a la denunciante a la aportación de la copia de su DNI. Para que opere esta causa de nulidad, es preciso, que el acto administrativo transgreda el contenido de derechos fundamentales en sentido estricto, es decir, de los reconocidos como tales en la CE, para cuyo desarrollo se establece reserva de ley orgánica—TS 03/04/2000.RJ 4048--. El derecho a la defensa debe entenderse siempre en sentido material, debiendo ponderarse en cada caso concreto, si las causas obstativas suponen efectiva indefensión para el interesado (TSJ Andalucía 4-12-98. RJC 4848). La consideración de la relevancia de la prueba depende de una decisión adoptada en el marco del proceso atendiendo a datos fácticos que resulten controvertidos y que resulte dirigida a sustentar la pretensión que se ejercita. La solicitud de documentación—prueba documental—se realizó de oficio por el órgano Instructor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 Se practicaran de oficio o se admiten a propuesta del presunto responsable cuantas pruebas sean adecuadas para la determinación de hechos y posibles responsabilidades, pudiéndose declarar improcedentes solamente aquellas pruebas que por su relación con los hechos nio puedan alterar la resolución final a favor del presunto responsable. La aportación de la copia del DNI o la falta del mismo en el expediente, no afecta a la presunción de Inocencia de la Entidad recurrente, pues se probó por el órgano Instructor que la Entidad recurrente no disponía en sus sistemas de información de copia del DNI de la titular o documento de naturaleza similar, que acreditase que contaba con el consentimiento inequívoco e informado de la afectada, quebrando con ello la referida “presunción”. A mayor abundamiento, de la mera comparación de las firmas aportadas (folio nº 1 reclamación en la AEPD de la afectada) y las que constan plasmadas en el contrato presentado (folios por la Entidad denunciada Galp (responsable del fichero) se puede aseverar que las mismas no coinciden. La valoración de la prueba no puede traducirse en la conformación de un cerrado criterio personal del que la lleva a cabo, sino en una apreciación lógica de la prueba, no exenta de pautas o directrices de rango objetivo, fiel a los principios del conocimiento y de la conciencia, a las máximas de la experiencia y a las reglas de la sana crítica—TS 04/04/89. RJ 3014--. En casos como el presente viene reiterando la Audiencia Nacional, ya en las Sentencias de esta Sección, de 25 de octubre de 2002 (recurso nº. 185/2001 y 30 de junio 2004 (recurso nº. 619/2002), que la concurrencia del consentimiento inequívoco del afectado que exige el art. 6.1 para el tratamiento de datos de carácter personal por parte de un tercero, en el caso de que dicho interesado niegue haberlo otorgado, se ha de acreditar por quien realiza el tratamiento a través de los medios previstos legalmente a tal fin. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la más acorde con lo dispuesto no solo en el citado art. 6.1 de la LOPD , sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Por tanto, la Entidad recurrente no sólo no aporta copia del DNI o documento de naturaleza similar, sino que no ha desplegado actividad alguna tendente a constatar que la afectada era quién realmente otorgaba su consentimiento en el alta/s de los servicios. Así la SAN 10/06/2011 en dónde se establece “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permita comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más, la firma de contrato se corresponde con el inquilino de la vivienda”. A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. Por todo lo expuesto, cabe desestimar la solicitud de nulidad del acto administrativo—ex art. 62.1
- a)Ley 30/92—al no verse afectado derecho fundamental alguno de la Entidad recurrente, que ha podido alegar y presentar cuantos documentos ha estimado pertinentes en Derecho. III En el presente caso se procede a examinar la reclamación de fecha 28/06/12 en la que la afectada denuncia de manera sucinta que: “Galp Energía me factura el servicio de gas y electricidad que tengo contratado con Gas Natural Fenosa. No he contratado nada con Galp, ni telefónica, ni físicamente, han realizado un tratamiento de mis datos sin consentimiento, para una supuesta firma de un contrato que yo no he firmado”.—folio nº 1--. En apoyo a lo manifestado aporta como medio de prueba admisible en derecho dos facturas emitidas por la Entidad denunciada—Galp Energía--, en dónde se plasman los datos de carácter personal de la misma (Nombre, apellidos, dirección, nº de cuenta bancaria, etc). o o Nº de factura: ***FACTURA.1. Fecha de emisión 19/06/12. Total importe: 63,76€. Nº de factura: ***FACTURA.2. Fecha de emisión: 29/04/12. Total importe: 40,92€. La afectada manifiesta expresamente (folio nº 1) en su escrito de reclamación ante esta AEPD: “Han realizado un tratamiento de datos sin mi consentimiento, para una supuesta firma de un contrato que yo no he firmado” (folio nº 1). “…me cobran en una cuenta que no es la mia…”(folio nº1) La única prueba objetiva aportada por la Entidad denunciada—Galp—en el presente caso, es la copia de “contrato” con presunta rúbrica de la denunciante. Esta Agencia tiene establecido como criterio en la materia que nos ocupa, que la mera existencia de un contrato firmado no garantizaba plenamente la protección de los datos de carácter personal de los titulares de los mismos; por lo que en aras de una mayor protección y garantía del “consentimiento inequívoco” se requiere la aportación junto con el contrato, de la existencia de fotocopia del D.N.I o documento de naturaleza similar, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 como diligencia mínima a desplegar por cualquier Entidad a la hora de asegurar la contratación de cualquier servicio. Es más, dicho D.N.I o documento de naturaleza similar deberá ser el del titular de los datos que se procede a dar de alta, deberá estar vigente (según fecha impresa en el mismo) en el momento de la contratación del servicio, deberá constar anverso/reverso del mismo y la fotocopia deberá ser nítida, sin manipulación o tachaduras en los datos o en la fotografía del afectado/a. En apoyo de lo argumentado, baste citar los siguientes pronunciamientos de la Audiencia Nacional: - Así la SAN 10/06/2011 en dónde se establece “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permita comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más, la firma de contrato se corresponde con el inquilino de la vivienda”. - También en idénticos términos, la SAN 08/07/12 “No es obligatoria copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, como ya señalamos en la SAN de 27 de abril 2006 (Rec. 54/2005) deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la Entidad recurrente”. - La SAN 13/05/11 esgrime lo siguiente “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de Servcios SA no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos era efectivamente la citada persona y que la misma consintió tal contratación”. Por tanto, en su condición de responsable del fichero y de tratamiento, la Entidad denunciada—Galp—tenía la obligación de asegurarse que contaba con el consentimiento del denunciante para tratar sus datos de carácter personal o de adoptar medidas diligentes de comprobación y a tal fin debió implementar y adoptar las medidas de control y verificación correspondientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 Es cierto que los datos de la afectada se los suministro la Entidad—Partec Representaciones S.L—como prestador de servicios de fuerzas de venta, pero como viene afirmado la Audiencia Nacional (vgr. SAN 2848/2011) con independencia de la responsabilidad en que haya podido incurrir dicha empresa al facilitarle los datos de la denunciante sin su consentimiento, no la eximen del cumplimiento de la normativa vigente en materia de protección de datos personales, pues es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios, y la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar (aunque la recogida de datos se haga a través de terceros) y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente esla titular de los datos personales en cuestión. En su condición de responsable del fichero, Galp Energía tenía la obligación de asegurarse que contaba con el consentimiento de la denunciante para tratar sus datos de carácter personal o de adoptar medidas diligentes de comprobación y a tal fin debió implementar y adoptar las medidas de control y verificaciones correspondientes. Por tanto, no es obligatoria la copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, como ya se plasma en la SAN de 27 abril 2006 (Rec.54/2005) deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse, a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la entidad demandada. Por todo lo expuesto, se considera que la Entidad denunciada—Galp—ha infringido el contenido del art. 6.1 LOPD, procediendo a tratar sus datos de carácter personal sin contar con el consentimiento de la afectada. IV Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractor como señala la STS de 18 marzo 2005 (Rec. 7707/2000) es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). Sin que quepa apreciar la vulneración del principio de culpabilidad aducido por la sociedad recurrente. Efectivamente, el principio de culpabilidad previsto en el art. 130.1 de la Ley 30/1992, de 26 de noviembre, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia del Tribunal Supremo (sentencias de 12 de diciembre de 1995, 14 de mayo de 1999 etc.) y la doctrina del Tribunal Constitucional (después de su STC 76/1990), destacan que requieren la existencia de dolo o culpa. Ha quedado acreditado que la Entidad-Galp-- sólo aporta copia de un “presunto” contrato de la afectada, sin copia del DNI o documento de naturaleza similar; por lo que no demuestra fehacientemente que cuente con el consentimiento inequívoco del titular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 de los datos. V No cabe apreciar la atenuación invocada “reconocimiento espontaneo” de la culpabilidad, porque en las alegaciones al Acuerdo de Inicio—momento procesal en el que debió realizarse al amparo del art. 8 del RD 1398/1993, 4 de agosto, del Reglamento del procedimiento para el ejercicio de la potestad sancionadora—se esgrimieron argumentaciones relativas al consentimiento del afectado, responsabilidad del encargado del tratamiento y práctica de prueba entre otros elementos, que impiden considerar la aplicación de tal causa de disminución de la culpabilidad. En consecuencia, no se aprecian en el caso que nos ocupa, la concurrencia de circunstancias que pongan de relieve esa cualificada disminución de la culpabilidad o antijuridicidad requerida por el citado art. 45.5 de la LOPD , habiéndose impuesto la sanción en cuantía muy próxima al grado mínimo por lo que no se ha vulnerado el principio de proporcionalidad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos. A la hora de motivar la sanción, una vez que se ha considerado no tener en cuenta la aplicación del art. 45.5 LOPD, se han de tener en cuenta los criterios de graduación de las sanciones del art. 45.4 LOPD. En concreto: La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.45.4
- c)LOPD. El volumen de negocio o actividad del infractor.45.4
- d)LOPD. A modo ilustrativo, la compañía Galp, según fuentes consultadas, obtuvo unos aproximadamente 359 millones de beneficio neto en 2012. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
- h)LOPD. Cabe igualmente tener en cuenta la total falta de reacción ante la primera reclamación de la afectada—25/07/12—“niegan a haber contratado ni por teléfono, ni a través de un comercial…” y el bloqueo de los datos de la afectada—23/10/13—acreditado mediante la correspondiente certificación notarial: esto es, 15 meses después de que conste en sus sistemas una posible contratación fraudulenta por lo que tampoco es aplicable lo previsto en el apartado
- b)del artículo 45.5. Por todo ello se acuerda confirmar la sanción a la Entidad denunciada—Galp—cifrada en la cuantía de 50.000€, dada la especial gravedad en los hechos descritos y la total falta de diligencia de la Entidad denunciada. VI Por lo tanto, en el presente recurso de reposición, la Entidad recurrente --GALP ENERGIA ESPAÑA S.A.U.-- no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad-- GALP ENERGIA ESPAÑA S.A.U.-- contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 11 de noviembre de 2013, en el procedimiento sancionador PS/00242/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad GALP ENERGIA ESPAÑA S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es