REPOSICION-PS-00370-2013

1/8 Procedimiento nº.: PS/00370/2013 ASUNTO: Recurso de Reposición Nº RR/00075/2014 Examinado el recurso de reposición interpuesto por la entidad MADRILEÑA SUMINISTRO DE GAS, S.L. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00370/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 20 de diciembre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00370/2013, en virtud de la cual se imponía a la entidad MADRILEÑA SUMINISTRO DE GAS, S.L., una sanción de 50.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3

1. b), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 23/12/13, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00370/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 17/08/11 se recibe en esta Agencia reclamación de la afectada en dónde pone de manifiesto que: “Que esta parte en ningún caso ha solicitado cambio de comercializadora alguno, ni ha consentido de forma expresa que mis datos personales se pudieran ceder a terceras empresas. Por otra parte, tampoco se ha manifestado consentimiento alguno para que la compañía Galp Energía realice un tratamiento de mis datos personales a través de sus ficheros”.—folio nº 1--. Segundo. Queda acreditado que la Entidad denunciada-Madrileña Suministro de Gas (Galp) no dispone de copia del contrato de servicio de la afectada, ni está en disposición de ponerlo a disposición de esta AEPD. Tercero. La Entidad denunciada—Madrileña Suministro de Gas (Galp)—ha procedido a tratar los datos de la afectada mediante la emisión de facturas, en dónde quedan plasmado sus datos de carácter personal. Nº de Factura: ***FACTURA.1. Total factura: 38,52€ --folio nº 9--. Nº de Factura: ***FACTURA.2. Total factura: 44,83€.—folio nº 10--. Nº de Factura: ***FACTURA.3. Total factura: 28,28€.—folio nº 11--. Nº de Factura: ***FACTURA.4. Total factura: 37,58€.—folio nº 12--. Nº de Factura: ***FACTURA.5. Total factura: 39,85€. –folio nº 13--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Cuarto. La Entidad denunciada—MSG (Galp) no aporta la constancia en sus sistemas de información de la reclamación/es de la afectada. Quinto. Consta en los ficheros de MSG – GALP el alta en el servicio de gas con fecha 11 de abril de 2011 y fecha de baja 21/11/11 asociado al contrato nº ***CONTRATO.1 (folio nº 30). Sexto. Queda acreditado mediante burofax enviado por la Entidad denunciada— MSG (Galp) que se ha procedido a cancelar los datos y a bloquear los mismos en fecha 08/07/2012 a fin de que la misma obtenga plena satisfacción de sus pretensiones (folio nº 391). TERCERO: La Entidad MADRILEÑA SUMINISTRO DE GAS, S.L. ha presentado en fecha 20/01/14, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: Único. Sobre la responsabilidad de Madrileña Suministro de Gas S.L. La total falta de colaboración por parte de Gas Natural Comercial SDG S.L y la decisión de la AEPD de sancionar a MSG obliga a esta parte a reconocer voluntariamente la responsabilidad MSG en la comisión de la infracción imputada y solicitar a los efectos previstos en el art. 8.2 RD 1398/1993, 4 de agosto, por el que se aprueba el REPEPOS, el establecimiento de la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que precediese inmediatamente en gravedad a aquella en que se integraba la considerada en el presente caso de acuerdo con lo previsto en el art. 45.5
2. d)LOPD. MSG acepta su responsabilidad por la comisión de la infracción imputada por esta Agencia en lo relativo al tratamiento de datos sin disponer del consentimiento de la titular, dejando constancia reiteradamente de que dicha imposibilidad de probar el tratamiento sin consentimiento, se debe al conflicto existente entre esta Entidad y Gas Natural Comercio SDG, SL frente a quien MSG continuará defendiendo sus interese en las instancias judiciales competentes. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En el presente caso se procede a examinar la reclamación de fecha de entrada en esta AEPD 17/08/11 en dónde se pone de manifiesto que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 “Que esta parte en ningún caso ha solicitado cambio de comercializadora alguno, ni ha consentido de forma expresa que mis datos personales se pudieran ceder a terceras empresas. Por otra parte, tampoco se ha manifestado consentimiento alguno para que la compañía Galp Energía realice un tratamiento de mis datos personales a través de sus ficheros”.—folio nº 1--. El art. 3 letra
3. h)LOPD—LO 15/1999—define el consentimiento del interesado como “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado la Audiencia Nacional reiteradamente, entre otras en sentencia de 28 febrero 2007, Rec 236/2005, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. La carga de acreditar la existencia del "consentimiento inequívoco" a que hace referencia el artículo 6.1 LOPD recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( SAN de 8 noviembre 2012, Rec 789/2010). Así las cosas, la denunciante negó en todo momento que hubiese suscrito contrato alguno con la sociedad actora. Según ésta el contrato de suministro era de fecha 11 de abril de 2011, pero dicho contrato no se ha aportado, no habiendo acreditado el consentimiento de la denunciante para tratar sus datos personales, recayendo la carga de la prueba de la existencia del consentimiento en quien realiza el tratamiento, que deberá arbitrar los medios necesarios para que no quepa ningún duda de que efectivamente el consentimiento ha sido prestado. En sustento de lo anterior, basta traer a colación la SAN—08-06-2011 “Por tanto no es obligatoria copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de protección de datos en el que nos hallamos, como ya señalamos en la San de 27 de abril de 2006 (Rec. 54/2005) deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse a título de ejemplo, en la repetida copia del DNI, y que como hemos visto, no han sido adoptadas por la Entidad demandante”. Item, la SAN-10/06/2011- “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos (…)”. MSG-GALP, sin embargo, no ha aportado ninguna prueba a tal fin, esto es, que recabó y obtuvo del afectado/a su consentimiento para la contratación de dichos suministros y servicios a los que se vinculan sus datos personales. Tampoco ha probado que hubiera adoptado las medidas a las que le obliga la diligencia mínima que debe observar en el tratamiento de los datos de las personas en relación con los productos que comercializa. Es esta falta de diligencia -materializada en el hecho de no haber recabado ningún tipo de documentación al objeto de acreditar tales extremos- es lo que hace recaer sobre la denunciada la responsabilidad por los hechos enjuiciados. Se esgrime además en las alegaciones al acuerdo de inicio de este procedimiento que la Compañía no tenía motivos para sospechar que la contratación de este servicio de gas y mantenimiento se hubiera podido realizar de forma irregular y que los datos solo pueden haber sido ofrecidos por el titular en un proceso de comercialización directa. Esta Agencia es consciente de los fraudes realizados y de lo fácil que resulta acceder por distintos medios a los datos personales de los ciudadanos. Pero la responsabilidad que se exige a la denunciada no es una responsabilidad objetiva, porque lo esencial es haber acreditado que actuó con la diligencia que corresponde a quien como ella, por razón de la actividad que desarrolla, se ve obligada a tratar continuamente datos personales. Por la misma razón no se exige por la Agencia ninguna responsabilidad a las entidades que son –además del titular de los datos- víctimas de un fraude cuando han actuado diligentemente, con independencia de que exista finalmente una suplantación de personalidad del titular de los datos tratados, siempre que se acredite que la responsable del fichero adoptó las medidas encaminadas a asegurarse de que quien prestó el consentimiento era el verdadero titular de los datos que le fueron facilitados. En consecuencia, habida cuenta de que MSG-GALP no ha acreditado que el denunciante consintiera el tratamiento de sus datos en relación con el contrato de suministro de gas y el servicio confortgas que constituyen el objeto de la controversia, ni ha probado tampoco que hubiera articulado alguna medida encaminada a asegurarse de que quien prestó el consentimiento en la contratación era el titular de los datos, se estima que la conducta anteriormente descrita constituye una vulneración del principio del consentimiento que consagra el artículo 6.1 de la LOPD, tipificada en el artículo 44.3.
4. b)de la citada norma. Por todo ello se considera que la Entidad denunciada—Madrileña Suministradora de Gas-- no ha desplegado una “mínima” actividad diligente tendente a constatar que contaba con el consentimiento inequívoco del titular de los datos, ni ha podido acreditar fehacientemente que constase con el consentimiento de la afectada, vulnerando con ello el contenido del art. 6.1 LOPD. III Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 IV Esgrime como argumento “Único” la Entidad recurrente el reconocimiento de la responsabilidad por la comisión de la infracción descrita en el art. 6.1 LOPD: tratar los datos de la afectada sin tener su consentimiento. Este Agencia quiere remarcar que el reconocimiento de la responsabilidad de la entidad recurrente se produce una vez notificada la Resolución del Director de la AEPD —19/12/13 ---y en vía de Recurso contra el acto administrativo precedente. La parte recurrente interesa la aplicación de lo previsto en el artículo 45.5 letra
5. d)de la LOPD según el cual "Cuando el infractor haya reconocido espontáneamente su responsabilidad”. La Audiencia Nacional tiene establecido en multitud de sentencias en relación a dicho precepto que no es sino una manifestación del llamado principio de proporcionalidad (art. 131.1 de la Ley 30/1992), incluido en el mas general de prohibición de exceso, y reconocido por la jurisprudencia como Principio General del Derecho; por esta Sala se tiene establecido que dicha regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto. Lo cual, insistimos, puede darse, por excepción, en casos muy extremos (de aquí la expresión "especialmente cualificada") y concretos. La posibilidad prevista en el artículo 45.5 no es sino consecuencia del valor justicia que informa nuestro Ordenamiento Jurídico -art. 1 CE , en relación con las STC 50/1995 y 173/1995 -, siendo plasmación de tal principio en casos de cualificada disminución de la culpa o de la antijuridicidad. El momento procedimental oportuno para el “reconocimiento voluntario” de la responsabilidad según criterio reiterado de esta Agencia es con ocasión de las alegaciones al Acuerdo de Inicio o con anterioridad al mismo, esto es, cuando la Entidad denunciada ha tenido conocimiento de los “hechos” que se le imputan, se le notifica la presunta infracción cometida y las consecuencias legales en caso de resultar sancionada. Para que el reconocimiento de la culpabilidad pueda ser calificado de espontaneo, como exige el artículo 45.5.d), debería haberse efectuado antes del trámite de alegaciones a la propuesta de resolución. Debe recordarse que en la notificación del Acuerdo de Inicio del Director de la AEPD vinculado al PS/00370/13 se le otorgaba “la posibilidad de reconocer voluntariamente su responsabilidad”, sin que tal reconocimiento se produjese en tiempo y forma por la hoy Entidad recurrente. La “espontaneidad” se ve desvirtuada cuando ha tenido lugar toda la tramitación de un procedimiento en dónde la parte recurrente ha podido esgrimir en Derecho lo que ha estimado oportuno y ha podido aportar los medios de prueba que en Derecho ha considerado necesarios: sobre la base de la negación de los “hechos” objeto de enjuiciamiento administrativo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Debe subrayarse que en la presente fase la responsabilidad ha sido declarada por Resolución sancionadora, sin que proceda reconocimiento espontaneo alguno, sino en todo caso su cuestionamiento en vía administrativa o jurisdiccional. Se concluye por tanto a la luz de las consideraciones precedentes, que no es posible con motivo de la interposición de un Recurso, aplicar la atenuante privilegiada del art. 45.5
6. d)LOPD: No se han aportado las grabaciones de la solicitud de suministro para la vivienda en cuestión lo que impide conocer los términos en que se produjo dicha solicitud, ni tampoco hay constancia de la remisión de copia del contrato para su firma por el contratante, que viene a ser también una medida de supervisión a posteriori de la solicitud de contratación. A lo expuesto, cabe añadir que la infracción apreciada se puede cometer no sólo de forma dolosa sino culposa como hemos reseñado anteriormente, y, por otra parte, en cuanto al volumen de tratamientos, la parte denunciada es una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que debe ser especialmente cuidadosa con dichos tratamientos, y que como ha declarado la Audiencia nacional, los perjuicios directamente causados o beneficios obtenidos por la parte recurrente son circunstancias que no admiten ser incluidas dentro de lo que deben ser objeto de valoración al amparo de lo previsto en el art. 45 de la LOPD ( Sentencia de 19 de octubre de 2005 , entre otras). A la hora de motivar la sanción a imponer a la Entidad denunciada—MSG (Galp)--, se tienen en cuenta los criterios establecidos en el art. 45.4 LOPD. En concreto, los siguientes:  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. 45.4
7. c)LOPD.  El volumen de negocio o actividad del infractor. 45.4
8. d)LOPD. A modo ilustrativo, la Entidad—MSG (Galp) obtuvo unos 162 millones de euros de beneficio en el primer trimestre del año 2013.  La naturaleza de los perjuicios ocasionados a la interesada (…). 45. 4
9. h)LOPD. Por todo ello se acordó en la Resolución objeto de impugnación, que se impusiera a la Entidad denunciada—Madrileña Suministro de Gas—una sanción cifrada en la cuantía de 50.000€. V Por lo tanto, en el presente recurso de reposición, la Entidad recurrente MADRILEÑA SUMINISTRO DE GAS, S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, siendo desestimada su solicitud de revisión de la sanción impuesta en base al “reconocimiento voluntario” de la responsabilidad, la cual fue negada de manera sistemática durante la tramitación del procedimiento sancionador de referencia PS/00370/2013. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por MADRILEÑA SUMINISTRO DE GAS, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 20 de diciembre de 2013, en el procedimiento sancionador PS/00370/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad recurrente MADRILEÑA SUMINISTRO DE GAS, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es