REPOSICION-PS-00359-2013B

1/12 Procedimiento nº.: PS/00359/2013 ASUNTO: Recurso de Reposición Nº RR/00952/2013 Examinado el recurso de reposición interpuesto por la entidad GALP ENERGIA ESPAÑA, S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00359/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 25 de octubre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00359/2013 , en virtud de la cual se imponía a la entidad GALP ENERGIA ESPAÑA, S.A.U., una sanción de 50.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3

1. b)de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 29/10/13, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00359/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 19/07/12 se recibe en esta AEPD reclamación de la afectada en dónde pone de manifiesto que: “Que la compañía Galp Energía S.A.U realiza un contrato de suministro de gas natural, electricidad y servicios, dónde aparecen como datos correctos el nombre, apellidos, domicilio y nº de DNI de la afectada , sin que la afectada pudiera aportarlos (no vive en dicho domicilio desde mayo del año 2010)”—folio nº1--. En apoyo de su pretensión aporta certificado emitido por la Directora del Centro de Mayores del Escorial en dónde se acredita que: “Doña A.A.A., reside y vive en el citado Centro Geriátrico desde el día 14 de mayo del año 2010 y hasta la actualidad”, con fecha 08/03/12.—folio nº 10--. Por tanto, de las pruebas documentales aportadas cabe concluir que la afectada no otorgó su consentimiento, ni pudo firmar contrato alguno, al encontrarse interna en una Residencia geriátrica. Segundo. En los sistemas de información de la Entidad denunciada—Galp Energía S.A.U—consta copia del “presunto” contrato con los datos de la denunciante: Dña. A.A.A., con fecha de rúbrica 08/03/2012.—folios nº 21 y 22--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 El código de cuenta bancario a efectos de cargar las facturas es: ***CCC.1. La firma/s que aparece plasmada en el contrato, no coincide prima facie con la aportada como auténtica por la afectada—folio 11 y 12--. Tercero. Constan en los sistemas de información de la Entidad denunciada— Galp Energía S.A.U—la siguiente información en relación con los servicios contratados:  Servicio de Gas: alta 02/04/12 y la fecha que consta de baja 21/08/12 por cambio de comercializadora.  Servicio de electricidad: alta 18/06/12 y la fecha que consta de baja el 07/02/13 por cambio de comercializadora. Cuarto. Por parte de la Entidad denunciada—Galp Energia S.A.U—se han tratado los datos de carácter personal de la afectada, mediante la emisión de las correspondientes facturas.  Nº de Factura: ***FACTURA.1. Fecha de emisión. 18/03/12. Importe de factura: 6,93€.—folio nº 35--.  Nº de Factura: ***FACTURA.2. Fecha de emisión: 24/05/12. Total a pagar: 41,42€. –folio nº 36 y 37--.  Nº de Factura: ***FACTURA.3. Fecha de emisión: 07/07/12. Total factura. 65,15€.—folio nº 40 y 41--.  Nº de Factura: ***FACTURA.4. Fecha de emisión: 28/08/12. Total factura: 11,26€.—folio nº 42 y 43--. Quinto. Consta como reclamación del afectado en los sistemas de información de la Entidad denunciada—Galp--, las siguientes: “El cliente solicita copia del contrato para saber quién contrato el suministro con la compañía Galp Energía, ya que afirma que la titular del contrato lleva más de un año en una Residencia…”—folio nº 29--.Fecha: 12/06/12. “Recibimos CG Ayuntamiento de Alcobendas…dónde el cliente solicita duplicado de su contrato, ya que le dieron de alta gas y luz sin haber solicitado nada” –folio nº 30— Fecha: 29/06/12. “El cliente indica que tras recibir la copia del contrato, observa que no coinciden varias cosas, la cuenta bancaria no es suya, ni la firma e indica que no ha podido realizar contratación alguna ya que la titular del punto de suministros se encuentra en una Residencia y que sólo sale para ingresos hospitalarios”—folio nº 31--. Fecha: 11/10/2012. Sexto: Las partes denunciadas—Galp Energía— (responsable del fichero) y Partec Representaciones S.L (encargada del tratamiento) firmaron un Acuerdo de prestación de servicios de fuerza mayor, en dónde quedan plasmadas las obligaciones de las partes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 “El Proveedor (Partec) deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo, y en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente en materia de protección de datos de carácter personal y sobre protección de los consumidores y usuarios”. “El Proveedor realizará el tratamiento necesario para la prestación de los servicios conforme a las obligaciones que se derivan de la LOPD, entre otras, las obligaciones de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al Proveedor”. “Las obligaciones establecidas para el Proveedor en la presente clausula serán también exigibles a sus empleados, colaboradores, tanto externos como internos y subcontratistas…”. Séptimo. Queda acreditado que la Entidad encargada de la formalización de los contratos, es la Entidad—Partec Representaciones S.L—al tratarse de un prestador de servicios de fuerzas de venta (Task forces), siendo en concreto esta operación realizada por el comercial D. B.B.B.. –folio nº 88--. La Entidad Partec no dispone de copia del DNI o documento de naturaleza similar, no habiendo realizado acto de comprobación alguno y aseverando “sin lugar a dudas es una conducta fraudulenta”—folio nº 90--. TERCERO: La Entidad-- GALP ENERGIA ESPAÑA, S.A.U--. ha presentado en fecha 29/11/13 escrito de Recurso en el servicio Oficial de Correos, con entrada en esta AEPD en fecha 03/12/13 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: Del contrato firmado con Partec Representaciones. La relación contractual existente entre Galp y Partec ya ha sido alegada anteriormente y no únicamente en el presente procedimiento (…). “El Proveedor realizará el tratamiento necesario para la prestación de los servicios conforme a las obligaciones que derivan de la LOPD, entre otras, las obligaciones de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite el Proveedor” De la no concurrencia en Galp del elemento de la culpabilidad. No puede considerarse que la compañía permitiera o fomentara las actuaciones fraudulentas en la contratación con potenciales clientes por parte de Partec. De los criterios del art. 45.4 LOPD Esta parte considera que en el presente supuesto claramente resultarían de aplicación lo dispuesto en el art. 45.5 de la LOPD para poder aplicar la escala relativa a las infracciones leves: referente a los beneficios obtenidos; referente al grado de intencionalidad y referente a la naturaleza de los perjuicios causados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 De la desproporción y la falta de motivación en la imposición de la sanción. La AEPD en el momento de motivar la sanción que impone tanto a Galp como a Partec, se limita a enumerar los criterios que considera que concurren en ambos casos sin motivar adecuadamente su aplicación y razón de ser. El hecho de que la AEPD aplique los mismos criterios del art. 45.4 LOPD a ambas Entidades pero imponga sanciones absolutamente dispares, produce indefensión a la Compañía por esta forma arbitraria de proceder, lo que afectaría a su derecho a la defensa (…), además de quebrantar la seguridad jurídica del art. 9.3 CE que proscribe la arbitrariedad, por lo que se habrá de solicitar la nulidad del presente acto administrativo en base al art. 62 de la Ley 30/92, 26 de noviembre. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En orden a dar una respuesta ajustada a Derecho en el presente Recurso de Reposición se ha de concretar que el mismo trae causa de los siguientes hechos: “Que la compañía Galp realiza un contrato de suministro de gas natural, electricidad y servicios, dónde aparecen como datos correctos el nombre, apellidos, domicilio y el nº de DNI de Doña A.A.A., sin que la afectada pudiera aportarlos (no vive en dicho domicilio desde mayo del año 2010). El resto de los datos que aparecen en el contrato (teléfono, cuenta bancaria, firma) no corresponde a la afectada”—folio nº 1--. Por consiguiente, los hechos descritos son susceptibles de ser subsumidos en la conducta descrita en el art. 44.3
2. b)de la LOPD. “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En fase de instrucción—ex art. 78 Ley 30/92—se procede a constatar que en los sistemas de información de la Entidad denunciada—Galp—existe copia de un contrato, con hasta cuatro firmas, autorizando el alta de los correspondientes servicios, no coincidiendo prima facie (* a simple vista) con la que consta plasmada como auténtica en el DNI de la denunciante aportado en el presente procedimiento. Item, queda acreditado de la documentación aportada (prueba documental. Folio nº 10) que la afectada se encuentra interna en el Centro Geriátrico Escorial desde el 14/05/10 hasta la actualidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 En los casos como el que nos ocupa, en que el denunciante niega haber prestado el consentimiento para el tratamiento de sus datos de carácter personal viene reiterando la Audiencia Nacional, ya en las Sentencias de esta Sección, de 25 de octubre de 2002 (recurso nº. 185/2001), 30 de junio 2004 (recurso nº. 619/2002 ) que la concurrencia del consentimiento inequívoco del afectado que exige el art. 6.1 para el tratamiento de datos de carácter personal por parte de un tercero, en el caso de que dicho interesado niegue haberlo otorgado, se ha de acreditar por quien realiza el tratamiento a través de los medios previstos legalmente a tal fin. Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. Interpretación ésta que es la que más correctamente se acomoda a lo dispuesto no solo en el citado art. 6.1 de la LOPD, sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Dicho principio conlleva la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, el consentimiento permite así al afectado ejercer el control sobre sus datos de carácter personal (la autodeterminación informativa), ya que es el propio interesado quien tiene que otorgar su consentimiento para que se pueda realizar el tratamiento de los citados datos. En este caso, el principio de presunción de inocencia recogido en el artículo 24.2 de la Constitución y 137.1 LRJPAC, y que la doctrina del Tribunal Constitucional ha considerado aplicable al derecho administrativo sancionador (SSTC 13/1981, 76/1990) implica que la carga de la prueba de los hechos constitutivos de la infracción recaiga sobre la Administración SSTC76/1990, 120/1994, 154/1994, 23/1995, 97/1995, 147/1995 y 45/1997. En el presente caso, la presunción de inocencia de las Entidades denunciadas ha quedado desvirtuada por las pruebas obrantes en el procedimiento: la afectada no ha podido otorgar su consentimiento al encontrarse interna en un Centro geriátrico, las firmas no coinciden, los datos bancarios son ficticios y no se ha podido acreditar por ninguna de las dos Entidades que tuvieran el consentimiento expreso de la titular de los datos o de pariente alguno vinculado con la misma. Es cierto que los datos de carácter personal son suministrados por la Empresa— Partec Representaciones- sin que exista contacto directo con el cliente, pero como ha venido manifestado la Audiencia Nacional con independencia de la responsabilidad, que en su caso haya podido incurrir dicha empresa prestadora de un servicio de fuerza de ventas, no exime en su caso a la Entidad—Galp—(responsable del fichero) del cumplimiento de la normativa vigente en materia de protección de datos de carácter personal, pues es ella con quien el interesado firma el contrato de abono, quien incorpora sus datos a sus ficheros, emite facturas y gira los correspondientes recibos bancarios y la que en correlación, debe asegurarse que aquél a quien solicita los datos para contratar (aunque la recogida de datos se haga a través de terceros) y ser tratados por ella, lo presta con consentimiento inequívoco y que esa persona que está dando el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 consentimiento, efectivamente es la titular de los datos personales en cuestión. En su condición de responsable del fichero, Galp Energía tenía la obligación de asegurarse que contaba con el consentimiento de los denunciantes para tratar sus datos de carácter personal y a tal fin debió implementar y adoptar las medidas de control y verificaciones correspondientes. III Alega la Entidad denunciada—Galp—en su escrito de Recurso de fecha 03/12/13 la ausencia del elemento de la culpabilidad. Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). Efectivamente, el principio de culpabilidad previsto en el art. 130.1 de la Ley 30/1992, de 26 de noviembre, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia del Tribunal Supremo (sentencias de 12 de diciembre de 1995, 14 de mayo de 1999 etc.) y la doctrina del Tribunal Constitucional (después de su STC 76/1990 ), destacan que requieren la existencia de dolo o culpa. Existencia de culpa o falta de diligencia que se aprecia en el presente caso, al haberse realizado el tratamiento de los datos personales de la denunciante sin su consentimiento. IV Antes de entrar en la determinación de la motivación de la sanción impuesta a la Entidad denunciada—Galp-- se han de realizar las siguientes consideraciones. Cierto es que las resoluciones administrativas, tal y como dispone el art. 54.1 de la Ley 30/1992, no requieren ajustarse a unas pautas tan estrictas como los que se imponen en el ámbito jurisdiccional; sin embargo, es igualmente cierto y congruente con el sentido de la Norma que las resoluciones de la Administración se hallen presididas por la necesidad de resolver y dar respuesta a las pretensiones que, en cada caso concreto, le dirige el administrado. En el presente procedimiento, la Entidad denunciada conocía los “hechos” que se le imputaban, la tipificación de los mismos y ha podido en todo momento realizar alegaciones y aportar cuantas pruebas ajustadas a Derecho estimase oportunas. La motivación de la sanción, así como, los criterios seguidos en orden la imposición de la misma son sobradamente conocidos por la Entidad recurrente—Galp--: carácter de responsable del fichero; tratamiento efectivo de los datos de la afectada; falta absoluta de diligencia en sus actuaciones en el marco de la LOPD; características empresariales y volumen de negocio. El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
3. a)El carácter continuado de la infracción.
4. b)El volumen de los tratamientos efectuados.
5. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
6. d)El volumen de negocio o actividad del infractor.
7. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
8. f)El grado de intencionalidad.
9. g)La reincidencia por comisión de infracciones de la misma naturaleza.
10. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
11. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
12. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
13. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
14. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
15. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
16. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
17. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “...no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar las operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de dato (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). En el presente caso, la Entidad denunciada—Galp—procedió al alta de varios servicios (Gas, electricidad) sin contar con el consentimiento inequívoco del titular de los datos. A mayor abundamiento, no dispone en sus sistemas copia/fotocopia del DNI o NIE de la afectada, ni acredita haber realizado actividad alguna de verificación de la identidad del titular de los datos. El art. 54 de la Ley 30/92, 26 de noviembre, “Motivación” dispone que: “Serán motivados con sucinta referencia de hechos y fundamentos de derecho:
18. a)Los actos que limiten derechos subjetivos o intereses legítimos”. En concreto, a la hora de motivar la sanción se tienen en cuenta los criterios establecidos en el art. 45.4 LOPD. Así se valoró por parte de esta AEPD, los siguientes:  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.—45.5
19. c)LOPD--. La Entidad denunciada Galp, es una Empresa de energía, que entre otras actividades distribuye gas y electricidad a los hogares, procediendo a estar en continuo contacto con datos de los “potenciales” consumidores.  El volumen de negocio o actividad del infractor.—45.5
20. d)LOPD-- Con carácter ilustrativo la Entidad—Galp—obtuvo en el año 2012 unos beneficios netos de 359 millones de euros y unos 162 millones de euros en el primer semestre del año 2013.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. En los sistemas de información de la Entidad recurrente—Galp—constan las reclamaciones del hijo de la afectada. Así, queda plasmado: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 “El cliente solicita copia del contrato para saber quien firma el contrato de suministro con la Compañía Galp Energía ya que afirma que la titular del mismo lleva más de un año en una Residencia”—12/06/12—folio nº 29--. “El cliente indica que tras recibir copia del contrato observa que no coinciden varias cosas, la cuenta bancaria no es suya, ni la firma e indica que no ha podido realizar contratación alguna, ya que la titular …se encuentra en una Residencia y sólo sale para ingresos hospitalarios”—11/10/12—folio nº 31--. “Llamo (2ª vez) el 30/11/12 a las 20:30. Cliente informado y conforme. Cierro aviso”—30/11/12—folio nº 34--. Los perjuicios ocasionados están fuera de toda duda: el hijo de la afectada tuvo que interponer diversas reclamaciones (folio nº 4 OMIC Alcobendas (Madrid), folio nº 5 y 6 (Dirección General de Consumo CCAA MADRID) o ante esta AEPD (folio nº 1); se ha puesto en contacto en otras tantas ocasiones con el servicio de atención al cliente de la Entidad recurrente. A pesar del conocimiento de una más que “probable” contratación fraudulenta los datos de la afectada continuaron en el sistema de la Entidad recurrente: Servicio de Gas (baja 21/08/12) y Servicio de electricidad (baja 07/02/13). Existiendo una deuda pendiente de 51,84€. No es el primer procedimiento de carácter sancionador en que se ven involucradas las dos principales Entidades denunciadas: Galp (responsable del fichero) y Partec Representaciones (encargada del tratamiento). Galp, cabe recordar que procede dar de alta una serie de servicios, sin contar con el consentimiento del afectado—el contrato nunca llegó a ser firmada por la titular de los datos al estar interna en un Centro Geriátrico--, incorpora los datos a sus sistemas, emite diversas facturas y no realiza actividad de verificación alguna. Existen claras diferencias entre las dos Entidades, que se tuvieron en cuenta a la hora de imponer la sanción, siendo incuestionable la vulneración de la normativa vigente en materia de protección de Datos, al menos a título de culpa o falta de diligencia: Galp es la entidad responsable del fichero (art. 3
21. d)LOPD) y tratamiento, pues decide sobre la finalidad, contenido y uso del tratamiento de los datos recabados por la empresa que le presta los servicios, y la que se beneficia de los datos de los clientes recogidos por tal encargada. Partec, es la Entidad encargada del tratamiento, que fue, al menos, plenamente negligente en el cumplimiento de la normativa vigente en materia de LOPD (vgr. constatar que los contratos estaban debidamente cumplimentados y que se acompañaba de la documentación—DNI o documento de naturaleza similar—requerida). La Entidad denunciada—Galp—es una empresa acostumbrada al tratamiento de datos de carácter personal (ofrece servicios a sus potenciales clientes de Gas, electricidad, mantenimiento, etc), mientras que, la Entidad –Partec-- se trata de una Task Forces—fuerza de ventas externa contratada para un objetivo temporal-- que tiene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 como objetivo la "INTERMEDIACION DEL COMERCIO DE DIVERSOS" con poca práctica en la materia de protección de Datos. PRODUCTOS Ente ambas Entidades existe, igualmente, una notable diferencia en el volumen de negocios: Galp según fuentes consultadas en el año 2012 obtuvo beneficios líquidos de unos 359 millones de euros y en el primer semestre del año 2013 obtuvo unos 162 millones de euros de beneficios; por su parte, Partec Representaciones S.L se trata de un Sociedad Limitada con un capital social suscrito según consta en el Registro Mercantil de 3.006€. Asimismo, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante. Las “medidas” adoptadas por la Entidad denunciada—Galp—se remontan a la siguiente fecha—certificación Notarial de 23 octubre del año 2013—medidas que debieron estar implementadas ab initio, como corresponde a una Empresa que trata infinidad de datos de carácter personal y que han sido consideradas para no imponer una sanción de mayor cuantía. Sobre este aspecto, señalar además que una Certificación Notarial de una pantalla del sistema de información de la Entidad denunciada, no acredita fehacientemente los extremos señalados ni la implementación de las eventuales medidas de corrección. Por tanto, se estima adecuado a la gravedad de la infracción cometida, que ha sido debidamente acreditada, imponer una sanción que se cifra en la cuantía de 50.000€. Sanción que por otra parte está en el margen inferior de las sanciones calificadas como “graves”. V Por lo tanto, en el presente recurso de reposición, la Entidad denunciada --GALP ENERGIA ESPAÑA, S.A.U---. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. El presente caso, puede ser considerado como el claro ejemplo de la actuación de Galp en el marco de la LOPD: alta de servicios y tratamiento de datos sin contar con el consentimiento de los titulares, nula adopción de medidas tendentes a constatar la identidad de los afectados, así como, total falta de diligencia y capacidad de reacción ante las reclamaciones efectuadas frente a las “reclamaciones” de los propios interesados. Por todo lo expuesto, se procede a desestimar el presente Recurso de reposición. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad-- GALP ENERGIA ESPAÑA, S.A.U.-- contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 25 de octubre de 2013, en el procedimiento sancionador PS/00359/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad GALP ENERGIA ESPAÑA, S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es