REPOSICION-PS-00254-2013B

1/13 Procedimiento nº.: PS/00254/2013 ASUNTO: Recurso de Reposición Nº RR/00938/2013 Examinado el recurso de reposición interpuesto por la entidad GALP ENERGIA ESPAÑA, S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00254/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 22 de octubre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00254/2013 , en virtud de la cual se imponía a la entidad GALP ENERGIA ESPAÑA, S.A.U., una sanción de 50.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3

1. b), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 25 de octubre del año 2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00254/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 09/07/12 se recibe en esta AEPD reclamación del denunciante en dónde manifiesta que “se presentaron en mi domicilio particular, dos comerciales que decían pertenecer a Gas Natural. Tras una breve exposición me convence para que le muestre una factura de mi suministro de energía para ver si tengo bien las facturas (…). Una vez entregadas dichas facturas, uno de los comerciales empieza a anotar algunos datos, sin ningún tipo de consentimiento. El NIE lo pasaron por un aparato creo que era algo para fotocopiar. …cual es mi sorpresa, cuando sin mi consentimiento y abusando de mi buen voluntad y que no entiendo todo en español, recibo en casa un periodo de facturación a cargo de la Empresa de Gas Natural…”--folio nº1 y 2--. En apoyo de su pretensión aporta copia de una factura emitida por la Entidad denunciada—Gas Natural Fenosa—con los datos de carácter personal del afectado por importe total de 93,03€--folio nº3--. Item, aporta copia del “contrato de suministro dual y servicios” de la entidad denunciada—Gas Natural--, que le dejaron en su domicilio sin rellenar en ninguno de sus campos. –folio nº 5--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Segundo. La Entidad denunciada—Galp-- aporta copia de contrato de gas, electricidad, confortgas básico y conforthogar, presuntamente suscrito por el afectado.— folio nº 20 y 21--. De una mera comprobación entre las firmas aportadas por el denunciante y la que constan en el contrato suscrito “presuntamente” por el afectado, las mismas prima facie no coinciden, ni tan siquiera son similares. No se aporta copia del D.N.I del afectado o documento de naturaleza similar en sus alegaciones. La fecha de dicho contrato es 17/02/12 y en los campos suscritos aparecen las siglas P.O (Por Orden). Tercero. En los sistemas de información de la Entidad denunciada—Galp— constan los siguientes datos de carácter personal del afectado asociados a los siguientes servicios:  Contrato de suministro de gas entre las fechas 01/04/12 y 21/05/12.  Contrato servicio de mantenimiento ConfortGas Básico con fecha alta 29/03/12 y cese fijado para el 28/03/13.  El alta en el servicio de electricidad se realizó 16/04/12 y la baja el 27706/12.  El alta en el servicio Conforthogar se realizó el 29/03712, con cese fijado para el 28/03713. En los ficheros de la entidad denunciada consta que el denunciante mantiene una deuda pendiente por importe de 219,71€. Cuarto. Constan emitidas las siguientes facturas por parte de la Entidad denunciada—Galp—con los datos personales del afectado: D. A.A.A..  Nº Factura: ***FACTURA.1. Fecha emisión: 31/03/12. Importe: 11,04€. (folio nº 41).  Nº Factura: ***FACTURA.2. Fecha emisión: 20/04/12. Importe: 5,06€. (folio nº 42 y 43)  Nº Factura: ***FACTURA.3. Fecha emisión: 22/05/12. Importe. 28,41€. (folios nº 44 y 45).  Nº Factura: ***FACTURA.4. Fecha emisión: 28/06/12. Importe: 43,04€. (folio nº 46)  Nº Factura: ***FACTURA.5. Fecha emisión: 30/06/12. Importe: 10,01€. (folio nº 47).  Nº Factura: ***FACTURA.6. Fecha emisión: 03/07/12. Importe: 68,72€. (folio nº 48 y 49)  Nº Factura: ***FACTURA.7. Fecha emisión: 31/07/12. Importe: 10,01€. (folio nº 50).  Nº Factura: ***FACTURA.8. Fecha emisión: 15/08/12. Importe: 3,34€. (folio nº 51 y 52).  Factura Nº: ***FACTURA.9. Fecha emisión: 31/08/12. Importe: 10,01€. (folio nº 53). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13  Nº Factura: ***FACTURA.10. Fecha emisión: 30/09/12 Importe: 10,26€. (folio n 54).  Nº Factura: ***FACTURA.11. Fecha emisión: 30/11/12 Importe: 10,26€. (folio nº 55). Quinto. Constan acreditados los siguientes contactos entre el denunciante y la Entidad denunciada—Galp--. A saber: “Desde la OMIC del Ayto de Torrejón recibimos escrito de reclamación en fecha 24/05/12”. Cliente indica que un comercial le dio alta sin su consentimiento y niega haber firmado nada tanto de suministros como de servicio de mantenimientos —folio nº 32--. “Cliente reclama que un comercial le dio alta sin su consentimiento y niega haber firmado nada tanto de suministros como de servicios de mantenimiento. Alta fraudulenta.” 28/06/12 –folio nº 37--. “Cliente solicita que le envíen las copias de los contratos activos actualmente con Galp Energia, a su domicilio, teléfono de contacto de titular… no entiende cómo es posible que le hayan activado contratos que no ha firmado. Gracias” 02/07/12.—folio nº 36--. “Cliente solicita que se le de la baja de todos los servicios, ya que él no ha contratado con nosotros” 01/10/12.—folio nº 38--. Sexto. La Entidad encargada de la formalización del contrato es la Entidad— Partec Representaciones S.L— el cual encarga a su vez la realización del mismo a la comercial Doña B.B.B. (folio nº 85) siendo la relación entre ambos de carácter mercantil. La Entidad Partec no dispone de copia del DNI o documento de naturaleza similar del titular de los datos de carácter personal y asevera “es sin lugar a dudas una conducta fraudulenta, presuntamente imputable a la comercial” (folio nº 87). TERCERO: La Entidad denunciada GALP ENERGIA ESPAÑA, S.A.U. ha presentado en fecha 27/11/13, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: Sobre Partec Representaciones S.L y la no concurrencia en Galp del elemento de la culpabilidad. Alega Partec que su labor “se realiza estrictamente bajo la responsabilidad de Galp y según sus instrucciones”, lo que no puede considerarse que la compañía permitiera o fomentara actuaciones fraudulentas en la contratación con potenciales clientes (…). Por tanto, la Compañía actuó de buena fe al tratar los datos del denunciante ya que no tenía motivos para dudar de la actuación de Partec y la validez del contrato que se le remetió por parte de la empresa. La compañía desea poner de manifiesto que ha obtenido una certificación notarial, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 fecha 8 de octubre de 2013, presentada en la AEPD el pasado 23 de octubre de 2013, en la que determina que se han efectuado los cambios necesarios en el sistema de información de gestión de clientes (…). Sobre los criterios establecidos en el art. 45.4 LOPD aplicados. Propone la AEPD sancionar a la compañía con 50.000€ debido a la falta de consentimiento de la titular de los datos, estimando que concurren circunstancias que justifican la aplicación de determinados criterios de graduación de las sanciones establecidos en el art. 45.4 LOPD, sobre los cuales se han de hacer las siguientes consideraciones: - En relación con la actividad de la Entidad infractora (…). En relación con el volumen de negocio (…) si bien es notorio que la Compañía pertenece a un gran grupo energético, hay que hacer constar que cuando comienza el negocio de prestación de servicios de gas y electricidad lo hace en un entorno jurídico diferente al de los países a los que está vinculada como multinacional (…). Esta parte entiende que en el presente supuesto resultaría de plena aplicación lo dispuesto en el art. 45.5 LOPD para poder aplicar la escala relativa a las infracciones leves al concurrir los criterios recogidos en los siguientes apartados: -referente a los beneficios obtenidos: que no han existido al haberse anulado las facturas y además supone un daño causado a su imagen. -referente al grado de intencionalidad, al tratarse de una contratación realizada por el encargado del tratamiento por lo que no se puede apreciar intencionalidad alguna en el caso de la Compañía. -referente a la naturaleza de los perjuicios causados: ya que se han anulado todas las facturas, incluidas las del consumo real de la vivienda y sus datos se han cancelado (bloqueado). Sobre la motivación de la Resolución y la sanción y su desproporción. Si la AEPD considera que el cumplimiento del campo DNI es indispensable para probar el consentimiento del interesado al tratamiento de sus datos, debería haber pedido la subsanación en la denuncia. Por otro lado, es de señalar que la AEPD, en el momento de motivar la sanción a imponer tanto a Galp como a Partec, se limita a enumerar los criterios que considera concurren en ambos casos sin motivar adecuadamente su aplicación y razón de ser. El hecho de que la AEPD aplique los mismos criterios del art. 45.4 LOPD a amabas Entidades pero imponga sanciones absolutamente dispares, produce indefensión a la compañía por esta forma arbitraria de proceder, lo que afectaría a su derecho a la defensa recogido en el art. 24 de la CE (…). Por todo lo expuesto, la Compañía considera que el presente procedimiento administrativo sancionador incurre en causa de nulidad de pleno derecho puesto que se ha dictado una Resolución que carece de la motivación y congruencia necesaria lo que ha venido generando una indefensión a la parte denunciada (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II Antes de entrar en el fondo del asunto que nos ocupa, hemos de entrar a considerar la solicitud de nulidad del acto o en su defecto la anulabilidad del mismo, solicitada por la Entidad recurrente—Galp--. “La denuncia presentada por D. A.A.A. con fecha 0907/12 no está firmada por el mismo como se puede comprobar. Esta Agencia no comprobó adecuadamente la identidad del denunciante resultando que la firma del escrito de denuncia no era la suya”. Sobre este aspecto, destacar en primer término, el carácter de “extranjero” del denunciante y el perjuicio de tener que presentar diversas reclamaciones para la tutela y protección de sus derechos frente a Galp dentro de un marco normativo complejo. Con fecha 06/09/12 se presenta por el denunciante un escrito de ampliación de su denuncia ante esta AEPD—folio nº 6—en el que aporta su firma y la de su pareja, como medio de prueba admisible en derecho, a efecto de negar la firma del contrato aportado por la Entidad denunciada. En el marco del Derecho administrativo rige el principio pro actione o regla general de la interpretación más favorable al ejercicio de las acciones (STC de 30 septiembre 1985) y que se traduce, en la necesidad de resolución flexible de los requisitos de legitimación (STC de 11 julio 1983). Sobre la nulidad absoluta del acto administrativo—ex art. 62 Ley 30/92--, señalar que ésta tiene carácter excepcional. Los vicios que conducen a la nulidad del acto son relativamente tasados, pues sólo pueden considerarse como defectos generadores de nulidad los supuestos previstos legalmente. Para que opere la causa de nulidad esgrimida por la Entidad recurrente—62.1
2. a)Ley 30/92—es preciso que el acto administrativo transgreda el contenido de derechos fundamentales en sentido estricto, es decir, de los reconocidos como tales en la Constitución. El derecho a la defensa debe entenderse siempre en sentido material, debiendo ponderarse en cada caso concreto, si las causas obstativas suponen efectiva indefensión para el interesado (TS Andalucía 4/12/09. RJCA 4848). En el caso, que nos ocupa, la Entidad denunciada—Galp—fue debidamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 notificada de la infracción que se le imputaba, ha dispuesto de todos los medios de prueba admisibles en Derecho que ha estimado oportuno para la defensa de sus legítimos intereses; se le ha concedido trámite de audiencia y se le ha notificado en legal forma una Resolución motivada. Por tanto, en modo alguno se ha visto afectado su derecho a la defensa—ex art. 24 CE--, por lo que la pretensión de nulidad del acto ha de ser desestimada. Con carácter subsidiario, solicita la anulabildad del acto en cuestión. La anulabilidad en el marco del Derecho administrativo es la regla general ya que son anulables “los actos que infringen el ordenamiento jurídico, incluso la desviación de poder” (art. 63 Ley 30/92). La “presunta” falta de firma del interesado en el escrito de denuncia ante la AEPD de fecha 09/07/12 se trataría en todo caso de una “irregularidad” no invalidante integrada por los actos con vicios menores, es decir, aquellos en los que se de “el defecto de forma que no prive al acto de los requisitos indispensables para alcanzar su fin, ni provoque la indefensión de los interesados”—art. 63.2 Ley 30/92--. Como se ha indicado, el propio interesado procedió mediante la ampliación de su escrito de denuncia inicial a ratificar y ampliar la misma, documento que contiene su firma, así como, a adjuntar fotocopia de su pasaporte—folio nº 10—y tarjeta de residencia comunitaria –folio nº 11--. “En el 20 de agosto he recibido un contrato firmado, pero la firma no es mía, ni de mi pareja. Para poder comprobar le adjunto fotocopias” Firma: A.A.A. (folio nº 6). Por tanto, no se ha producido indefensión alguna a la Entidad denunciada— Galp--, dado que se han podido esgrimir por la misma todas las alegaciones que en Derecho ha considerado oportunas y ha podido rebatir la imputación de la infracción administrativa a lo largo de todo el procedimiento sancionador. Pretender, realizar una justificación de la contratación de un servicio (Derecho Civil) con la presentación de una denuncia ante un órgano administrativo (Derecho administrativo), carece de toda lógica jurídica. El suministro de Gas o electricidad, se enmarcaría dentro de la figura jurídica de un contrato de servicios (art. 1.495 CC) contrato que ha de tener una serie de formalidades (vgr. claridad de las clausulas y condiciones contractuales) y que requiere para su perfección: el consentimiento de la parte contratante (vgr. art. 1259 CC). Es función elemental del contrato originar efectos jurídicos (es decir, obligaciones exigibles), de modo que a aquella relación de sujetos que no derive en efectos jurídicos no se le puede atribuir cualidad contractual. Una denuncia en el marco del Derecho administrativo sancionador es “El acto por el que cualquier persona, en cumplimiento o no de una obligación legal, pone en conocimiento de un órgano administrativo la existencia de un determinado hecho que pudiera constituir infracción administrativa”—art. 11
3. d)RD 1398/1993, 9 de agosto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 Por tanto, inclusive en el caso de que un tercero hubiera puesto en conocimiento de la AEPD una “presunta” infracción administrativa es un deber de esta AEPD “velar por el cumplimiento de la Legislación vigente en materia de protección de Datos”—ex art. 37.1
4. a)LO 15/99--, recordando que el procedimiento administrativo sancionador se inicia siempre de oficio. Por consiguiente, la pretendida argumentación de considerar como legítimo para el tratamiento de los datos del afectado, “cualquier documento” con firma de un tercero, sin más documentación que le acompañe, ha de ser rechazada de plano; dado que ha de exigirse una “mínima” diligencia en comprobar que quién realmente presta el consentimiento en el alta de cualquier servicio: es el titular de los datos. III En orden a dar una respuesta ajustada a Derecho, en el presente Recurso de reposición se procede a analizar la reclamación de fecha en esta AEPD 29/07/12 en dónde el epigrafiado denuncia lo siguiente: “que se presentaron en mi domicilio particular dos comerciales que decían pertenecer a Gas Natural. Al final me pide el nº de la cuenta corriente…me contesta que para comprobar que todo está bien. Cuál es mi sorpresa cuando sin mi consentimiento y abusando de mi confianza y que no entiendo todo en español, recibo en casa un periodo de facturación a cargo de la Empresa de Gas natural…”—folios nº 1 y 2--. En los sistemas de información de la Entidad denunciada—Galp Energía— consta un “presunto” contrato firmado por el denunciante, con fecha de firma 17/02/12, dónde consta el titular de la cuenta bancaria: A.A.A. y el código de la cuenta bancaria. En fase de instrucción—ex art. 78 Ley 30/92—se procede a cotejar las firmas existentes en el contrato y la aportada por el denunciante, tanto en su reclamación ante la AEPD, como la que consta en su pasaporte y se constata que las mismas no coinciden, sin ninguna duda al respecto. Por parte de la Entidad—Galp—no se dispone de copia o fotocopia del DNI o documento de naturaleza similar del titular de los datos, que valide la contratación, ni se ha realizado ninguna actividad de comprobación el respecto. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la que más correctamente se acomoda a lo dispuesto no solo en el citado art. 6.1 de la LOPD, sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. Item, la SAN 01-04-11 que analiza un caso similar al que nos ocupa: “El hecho de la documentación en que se basa Endesa para tratar los datos de la denunciante, se la proporcionara Combray Solutions S.L. resulta irrelevante. Efectivamente, la responsabilidad en que hipotéticamente hubiera podido incurrir Combray Solutions S.L., (que no nos corresponde aquí enjuiciar), no exime a la hoy demandante del cumplimiento de la normativa en materia de protección de datos de carácter personal, pues es ella con quien se contrata, quien incorpora los datos a sus ficheros y la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el consentimiento, efectivamente es la titular de los datos personales en cuestión”. En los casos como el que nos ocupa, en que el denunciante niega haber prestado el consentimiento para el tratamiento de sus datos de carácter personal viene reiterando la Audiencia Nacional, ya en las Sentencias de esta Sección, de 25 de octubre de 2002 (recurso nº. 185/2001), 30 de junio 2004 (recurso nº. 619/2002 ) que la concurrencia del consentimiento inequívoco del afectado que exige el art. 6.1 para el tratamiento de datos de carácter personal por parte de un tercero, en el caso de que dicho interesado niegue haberlo otorgado, se ha de acreditar por quien realiza el tratamiento a través de los medios previstos legalmente a tal fin. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la que más correctamente se acomoda a lo dispuesto no solo en el citado art. 6.1 de la LOPD, sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Dicho principio conlleva la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, el consentimiento permite así al afectado ejercer el control sobre sus datos de carácter personal (la autodeterminación informativa), ya que es el propio interesado quien tiene que otorgar su consentimiento para que se pueda realizar el tratamiento de los citados datos. Por consiguiente, en el presente caso, queda acreditada la infracción del art. 44.3
5. b)LOPD por parte de la Entidad denunciada—Galp Energía S.A.U--. IV Alega la Entidad denunciada—Galp—ausencia del elemento subjetivo de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 culpabilidad, puesto manifiesta haber actuado de buena fe al tratar los datos del denunciante. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. Existencia de culpa o falta de diligencia que se aprecia en el caso que nos ocupa, al admitir la contratación sin exigir la documentación del supuesto cliente y sin proceder a realizar actividad de verificación alguna. En el contrato aportado—como único medio de prueba—el mismo está firmado en seis ocasiones: P.O y una firma que no se corresponde con la del titular de los datos; tampoco, los campos del contrato expresamente previstos para los supuestos de contratación por un tercero autorizado están debidamente cumplimentados: esto es, permanecen en blanco: Actúa en nombre y representación, Nombre y apellidos, Mayor de edad con DNI, etc. Por lo que la Entidad denunciada actuó de forma negligente al tratar los datos del afectado, máxime cuando no se sabe quién es la persona que “presuntamente” Por Orden ha firmado y validado el mismo. V El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “...no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar las operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de dato (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). En el presente caso, la Entidad denunciada—Galp—procedió al alta de varios servicios (Gas, electricidad, Confortgas básico y Conforthogar) sin contar con el consentimiento inequívoco del titular de los datos. A mayor abundamiento, no dispone en sus sistemas copia/fotocopia del DNI o NIE del afectado, ni acredita haber realizado actividad alguna de verificación de la identidad del titular de los datos. El art. 54 de la Ley 30/92, 26 de noviembre dispone que: “Serán motivados con sucinta referencia de hechos y fundamentos de derecho:
21. a)Los actos que limiten derechos subjetivos o intereses legítimos”. En concreto, a la hora de motivar la sanción se tienen en cuenta los criterios establecidos en el art. 45.5 LOPD. Así se valoró por parte de esta AEPD, los siguientes:  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.—45.5
22. c)LOPD--. La Entidad denunciada Galp, es una Empresa de energía, que entre otras actividades distribuye gas y electricidad a los hogares, procediendo a estar en continuo contacto con datos de los “potenciales” consumidores.  El volumen de negocio o actividad del infractor.—45.5
23. d)LOPD-- Con carácter ilustrativo la Entidad—Galp—obtuvo en el año 2012 unos beneficios netos de 359 millones de euros y unos 162 millones de euros en el primer semestre del año 2013.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. En el presente caso, en los propios comunicados del afectado con el servicio de reclamaciones de la Entidad-Galp—consta con fecha 25/05/12 “Cliente indica que un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 comercial le dio de alta sin su consentimiento y niega haber firmado nada tanto de suministros como de servicio de mantenimiento. Alta fraudulenta”—folio nº 32--. No es el primer procedimiento de carácter sancionador en que se ven involucradas las dos principales Entidades denunciadas: Galp (responsable del fichero) y Partec Representaciones (encargada del tratamiento). Galp, cabe recordar que procede dar de alta una serie de servicios, sin contar con el consentimiento del afectado—el contrato nunca llegó a ser firmada por el titular de los datos--, incorpora los datos a sus sistemas, emite diversas facturas y no realiza actividad de verificación alguna. Existen claras diferencias entre las dos Entidades, que se tuvieron en cuenta a la hora de imponer la sanción, siendo incuestionable la vulneración de la normativa vigente en materia de protección de Datos, al menos a título de culpa o falta de diligencia: Galp es la entidad responsable del fichero y tratamiento, pues decide sobre la finalidad, contenido y uso del tratamiento de los datos recabados por la empresa que le presta los servicios, y la que se beneficia de los datos de los clientes recogidos por tal encargada. Partec, es la Entidad encargada del tratamiento, que fue, al menos, plenamente negligente en el cumplimiento de la normativa vigente en materia de LOPD (vgr. constatar que los contratos estaban debidamente cumplimentados y que se acompañaba de la documentación—DNI o documento de naturaleza similar—requerida). La Entidad denunciada—Galp—es una empresa acostumbrada al tratamiento de datos de carácter personal (ofrece servicios a sus potenciales clientes de Gas, electricidad, mantenimiento, etc), mientras que, la Entidad –Partec-- se trata de una Task Forces—fuerza de ventas externa contratada para un objetivo temporal-- que tiene como objetivo la "INTERMEDIACION DEL COMERCIO DE PRODUCTOS DIVERSOS" con poca práctica en la materia de protección de Datos. Ente ambas Entidades existe, igualmente, una notable diferencia en el volumen de negocios: Galp según fuentes consultadas en el año 2012 obtuvo beneficios líquidos de unos 359 millones de euros y en el primer semestre del año 2013 obtuvo unos 162 millones de euros de beneficios; por su parte, Partec Representaciones S.L se trata de un Sociedad Limitada con un capital social suscrito según consta en el Registro Mercantil de 3.006€. Asimismo, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante. La adopción de “medidas”, que se acreditan mediante Certificación Notarial, traen fecha 08/10/13, presentadas en la AEPD en fecha 23/10/13, esto es: cuando existen iniciados e inclusive ya sancionados un multiplicidad de procedimientos sancionadores; cuya respuesta ante la queja/s de contratación “fraudulenta” fue manifiestamente negligente (vgr. no se bloquearon los datos, se continuo la facturación, se tardó en adoptar medidas preventivas ante situaciones similares…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 En consecuencia, no se aprecian en el caso que nos ocupa, la concurrencia de circunstancias que pongan de relieve esa cualificada disminución de la culpabilidad o antijuridicidad requerida por el citado art. 45.5 de la LOPD, habiéndose impuesto la sanción en cuantía muy próxima al grado mínimo por lo que no se ha vulnerado el principio de proporcionalidad, y, en consecuencia, procede confirmar la sanción impuesta que se cifra en la cantidad de 50.000€. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad GALP ENERGIA ESPAÑA, S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 de octubre de 2013, en el procedimiento sancionador PS/00254/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad recurrente GALP ENERGIA ESPAÑA, S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es