1/12 Procedimiento nº.: PS/00379/2013 ASUNTO: Recurso de Reposición Nº RR/00096/2014 Examinado el recurso de reposición interpuesto por la entidad PARTEC Representaciones S.L contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00379/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 28 de noviembre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00379/2013 , en virtud de la cual se imponía a la entidad Partec Representaciones S.L, una sanción de 3.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3
- b)de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en legal forma—ex art. 58 y 59 Ley 30/92--, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00379/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 31/08/12 se recibe en esta AEPD reclamación del denunciante frente a la Entidad—Galp Energía—en dónde pone de manifiesto que: “nos han hecho un contrato de mantenimiento, que además nosotros no necesitamos porque desde el 2009, tenemos contratado un servicio de mantenimiento con Sanier Duval, que es la Empresa que nos revisa nuestra caldera”.—folio nº 1--. Segundo. Se aporta por la Entidad denunciada—Galp—copia del contrato firmado por Doña A.A.A., si bien el titular del mismo es D. B.B.B..—folio nº 23--. No se aporta copia del D.N.I o documento de naturaleza similar del titular de los datos. Tampoco consta documento de autorización acompañando a la copia del contrato. Tercero. En los sistemas de información de la Entidad denunciada—Galp— constan los datos de carácter personal del denunciante. Contrato Cliente Genérico: Cta. Contrato ******* Galp Contrato Gas: 21/06/12----13/08/12. Otros servicios (Contrato cesado): 11/04/12---10/08/12. (folio nº 27). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Cuarto. En los sistemas de información de la entidad denunciada—Galp—“Call Center Clientes” constan las reclamaciones del denunciante, manifestando su disconformidad en la contratación. “Cliente llama indicando que no han firmado ningún contrato con Galp Energia. Solicita le den de baja todo lo relacionado con Galp”. Fecha 12/06/12 y 15/06/12 (junio) —folio nº 30--. “Cliente vuelve a llamar, no quiere tener 16/08/12 (folio nº 30). nada que ver con Galp”. Fecha: Quinto. La Entidad encargada de la realización y formalización de los contratos es Partec Representaciones S.L, siendo el comercial interviniente en este caso en concreto: D. C.C.C., con DNI ***DNI.1 (relación entre dos empresarios individuales). No consta copia del DNI o documento de naturaleza similar aportado por la Entidad Partec Representaciones S.L. TERCERO: La Entidad recurrente --Partec Representaciones S.L-- ha presentado en fecha 10/01/14, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: De la intervención del comercial como sub-encargado del tratamiento en el proceso. Las funciones de recabar los datos y de informar de los productos y servicios de la compañía Galp Energía a los clientes potenciales, fueron subcontratadas a un tercero, con autorización expresa del responsable del fichero. Es decir, que los contratos firmados por Orden, por persona distinta del titular, en este caso, su mujer, era práctica habitual y aceptada por la compañía, con lo que el comercial estaba siguiendo las instrucciones marcadas por Galp. Demostrada la subcontratación a terceros y según el Reglamento de la LOPD, el subcontratado asume la condición de encargado del tratamiento y por tanto queda sujeto a las mismas obligaciones y régimen sancionador. La no participación del comercial supone, en definitiva, un defecto procedimental que invalida las actuaciones que motivan estas reclamación, viciándola de nulidad absoluta en los términos del art. 62.1 Ley 30/92, sea por que se vulnere el legítimo derecho de defensa de Partec, amparado constitucionalmente o porque se ha prescindido del procedimiento legalmente establecido al efecto. Todo lo anterior provoca a mi representado una clara situación de indefensión. Máxime cuando siendo uno de los varios encargados de tratamiento en el proceso de contratación (junto con Unísono) sólo a él se le propone como sujeto de la sanción sin que ninguna de las otras dos Empresas involucradas en la gestión de contratos para Galp sean siquiera requeridas para facilitar información (…). Resulta pues contrario a Derecho que identificado el comercial y reconocida la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 subcontratación de servicios, la AEPD no proceda a convocarles como parte en el procedimiento que nos ocupa en los términos del art. 34 LRJ-PAC. La nulidad de actuaciones apuntada, en definitiva, obliga a una Instrucción del expediente que nos ocupa. De la participación de Unísono en el proceso como encargado del tratamiento. Partec era uno de los encargados del tratamiento junto con el comercial y Unísono; pero es que resulta que de los tres encargados en el proceso: Partec era el menos relevante de todos ellos, algo contradictorio al ser también el único que tiene un contrato firmado con Galp dónde se le encomienda las funciones de encargado del tratamiento. Por lo que venimos diciendo el deber de información se derivó en la figura del “comercial” que era quien recababa directamente los datos de los potenciales clientes en el sistema de puerta fría. Partec nunca tuvo acceso directo con el cliente puesto que se derivó la subcontratación de Agentes comerciales, previa autorización expresa por parte de Galp y cumpliendo la normativa en materia de protección de Datos. Se sirve del contrato que firmamos con Galp para aplicar la sanción correspondiente, en el cual se recogen una serie de obligaciones contractuales que en verdad Partec nunca tuvo, principalmente porque nunca tuvo acceso al sistema de Galp. De la falta de aportación de la copia del DNI por parte de la Entidad Partec.la documentación que traían los comerciales era revisada por Partec y entregada a Unísono, la verdadera encargada del tratamiento de los datos como venimos diciendo (…). Esta parte no puede aportar al momento del procedimiento ningún documento de identificación, puesto que estaría contraviniendo lo dispuesto en el art. 12.3 LOPD. De las particularidades en esta contratación. El cliente (en este caso fue su mujer) firmó un contrato de gas, luz y mantenimiento y cuando recibe las primeras facturas no comprende los cargos ya que sólo son facturas de servicios de mantenimiento pero sin que se haya realizado todavía con el suministro de gas y luz. En definitiva comprobamos una vez más que el servicio de atención al cliente, el propio sistema SAP permite duplicar clientes y que esté en dos compañías a la vez y el sistema de facturación que era un desastre, todo ello ha hecho posible que un elevado número de clientes haya acabado decepcionado con la compañía Galp, algo que hemos podido comprobar finalizado el contrato de colaboración con ellos y sobre todo hemos sido conocedores de dichas irregularidades a través de la propia AEPD. Por todo ello se solicita que se tenga por interpuesto el presente Recurso y realizados los trámites oportunos, lo admita, ordenando las medidas probatorias en su momento solicitadas, a sus efectos. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II Antes de entrar en el fondo del asunto que nos ocupa, en relación a los “hechos” que son objeto de denuncia ante esta AEPD, hemos de proceder a analizar la solicitud de nulidad de la Entidad Partec. La nulidad tiene carácter excepcional—TS 15/06/90--. Los vicios que conducen a la nulidad del acto son relativamente tasados, pues sólo pueden considerarse como defectos generadores de nulidad los supuestos previstos legalmente en la LRJ-PAC o en otras disposiciones con rango de ley (TS 04/01/83 RJ. 171). Para que opere la causa de nulidad esgrimida es preciso que el acto administrativo trasgreda el contenido de derechos fundamentales en sentido estricto, es decir, de los reconocidos como tales en la CE—14 al 29 y 30.2—para cuyo desarrollo se estable reserva de ley orgánica—TS 03/04/00 RJ 4048--. El derecho de defensa debe entenderse en sentido material, debiendo ponderarse en cada caso concreto si las causas obstativas suponen efectiva indefensión para el interesado—TSJ Andalucía 04/12/98 RJCA 4848--. El art. 43 de la LOPD—LO 15/99-- es claro al disponer lo siguiente “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. En el presente caso, la Entidad denunciada –Partec—ostentaba la condición de “encargado del tratamiento” en virtud de documento contractual firmado por D. D.D.D. en fecha 15/02/12. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. En fase de instrucción—ex art. 78 Ley 30/92—se solicita por la Entidad denunciada ---Partec-- que se proceda a la personación en el procedimiento del “comercial”, lo cual fue entendido como petición de prueba—testifical—dado el momento procedimental en el que nos encontrábamos. Cabe recordar que el Acuerdo de Inicio firmado por el Director de la AEPD es el que determina la condición de Entidad imputada: responsable del fichero (Galp) y encargado del tratamiento (Partec). El art. 127 RD 1720/2007, 21 diciembre RLOPD dispone que: “Con carácter específico el acuerdo de inicio del procedimiento sancionador deberá contener:
- a)Identificación de la persona o personas presuntamente responsables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 El Acuerdo de Inicio es una Resolución de trámite en la que se fijan los hechos que pueden ser alterados posteriormente a lo largo del procedimiento—TS 25/05/99--, no siendo susceptible de recurso administrativo ni judicial. La normativa establece la distinción entre la fase instructora y la fase resolutoria del procedimiento sancionador, que debe estar encomendada y ser ejercida por órganos distintos. La fase de instrucción tiene como función la constatación de los datos y hechos conforme a los cuales se dictará posteriormente la resolución administrativa (art. 78 Ley 30/92, 26 de noviembre), siendo la labor del órgano Instructor: proceder a admitir o denegar motivadamente las pruebas solicitadas conforme a Derecho. Con fecha 22/08/13 se procede a denegar motivadamente la solicitud de comparecencia del “comercial” al ser una declaración de carácter subjetivo, sujeta a valoraciones personales y que no incide en la responsabilidad de Partec a la hora del cumplimiento de sus obligaciones en materia de LOPD, sin perjuicio de que aportase cualquier documentación que estimase oportuna, la cual sería libremente valorada por el órgano Instructor. A mayor abundamiento no consta “acción penal” alguna contra el “comercial” aportada en legal forma a esta AEPD (a modo de ejemplo: querella criminal o denuncia por presunto delito de estafa), ni los hechos han sido trasladados a los órganos con competencia material (vgr. Juez de Instrucción del lugar de comisión de los “hechos”). Como señala el TC—STC 22/2008—“ Este derecho no tiene, en todo caso, carácter absoluto o, expresado en otros términos, no faculta para exigir la admisión de todas las pruebas que puedan proponer las partes en el proceso, sino que atribuye únicamente el derecho a la recepción y práctica de aquéllas que sean pertinentes, correspondiendo a los órganos judiciales el examen sobre la legalidad y la pertinencia de las pruebas solicitadas, debiendo motivar razonablemente la denegación de las pruebas propuestas, de modo que puede resultar vulnerado este derecho en caso de denegación o inejecución imputables al órgano judicial cuando se inadmiten o inejecutan mediante una interpretación de la legalidad manifiestamente arbitraria o irrazonable. Por supuesto, una vez admitidas y practicadas las pruebas declaradas pertinentes, a los órganos judiciales les compete también su valoración conforme a las reglas de la lógica y de la sana crítica, según lo alegado y probado, fallando en consecuencia, sin que este Tribunal pueda entrar a valorar las pruebas, sustituyendo a los Jueces y Tribunales en la función exclusiva que les atribuye el art. 117 CE”. Por consiguiente, la Entidad recurrente ha tenido conocimiento en todo momento de los “hechos” que se le imputaban, de las infracciones en que subsumían los hechos, las consecuencias jurídicas que le podían ocasionar, así como, ha tenido la posibilidad de esgrimir y aportar cuanta documentación ha considerado adecuada para su defensa. Por tanto, no se aprecia vulneración alguna del derecho de defensa del la parte recurrente, motivo por el que procede desestimar su solicitud de nulidad del procedimiento por tal motivo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 III En el presente caso, se procede a examinar la reclamación de fecha 31/08/2012 en dónde el epigrafiado pone de manifiesto ante esta AEPD de manera sucinta que: “…se presentó un comercial en mi domicilio diciéndonos que era de Gas natural y que tenía que firmar un documento para que las facturaciones en vez de hacerlas desde Barcelona, se hicieran en Madrid, y los beneficios quedaran en nuestra Comunidad, teníamos que firmar un documento (que ha resultado ser un contrato de mantenimiento de Confortgas básico y ConfortHogar)”—folio nº 1--. La LOPD—LO 15/1999—define el consentimiento del afectado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consiente en el tratamiento de los datos de carácter personal que le conciernen” (art. 3h) LOPD). Por consiguiente, en este caso el tratamiento de los datos de carácter personal del afectado se produjo por el responsable del fichero (Galp) y por el encargado del tratamiento (Partec) en base a que el mismo “presuntamente” firmó el contrato. Entre la documentación aportada no consta copia del DNI o documento de naturaleza similar, que permita acreditar una diligencia en la contratación. Tampoco se aporta copia de documento alguno que acredite “autorización” a la hora de firmar el contrato. La única “prueba” que presenta la Entidad denunciada Galp para acreditar que contaba con el consentimiento inequívoco del afectado es copia de un contrato firmado por P.O por Doña A.A.A., no aportando ninguna documentación complementaria como se ha manifestado anteriormente. Item, en el documento contractual presentado (folio nº 23) en los espacios del formulario en dónde deberían estar plasmados los datos de la persona “autorizada” constan en blanco, esto es, no se han rellenado los campos: Actúa en nombre y representación, Nombre y apellidos DNI. Por tanto, no consta aportado ningún documento de autorización, ni del “Autorizante”, ni de la persona autorizada para actuar en el tráfico jurídico con plena eficacia jurídica. A mayor abundamiento, el nº de cuente corriente aportado por el denunciante, en la Entidad financiera—Caja Madrid—se corresponde con la siguiente numeración— ***CCC.1--; mientras que el que consta en el documento contractual aportado por Galp se corresponde con una numeración distinta: ***CCC.2-. A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 La Entidad denunciada—Partec Representaciones S.L—la misma según se desprende de la documentación aportada “es un prestador de servicio de fuerza de ventas de Galp Energía España S.A.U”. Dentro del marco de la Legislación vigente en materia de protección de datos ocuparía la figura de “encargado del tratamiento”. El art. 3 letra
- g)LOPD—LO 15/99—define la figura del encargado del tratamiento de la siguiente manera: “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el caso que nos ocupa, la Entidad Partec a su vez encargo la realización y toma de los datos a un agente comercial: D. C.C.C., siendo la relación entre ambos de carácter mercantil (relación entre dos Empresarios independientes). “El agente se obliga a actuar lealmente y de buena fe velando por los intereses de Partec Representaciones S.L por cuya cuenta actúa, en el ejercicio de la actividad encomendada”. Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía—(vgr. aportado en el PS/00183/2013). A saber: “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado”. Las Entidad denunciada—Partec—no está en disposición de aportar copia del DNI o documento de naturaleza similar que acredite de forma fehaciente que contaba con el consentimiento inequívoco e informado del titular de los datos: D. B.B.B.. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo) sin que corresponda a esta Agencia el análisis de su relación con el comercial correspondiente. “…que los administradores incumplieron las obligaciones que se derivan de la LSA (…) no actuando con la diligencia exigible a un ordenado comerciante…no debió aceptar el cargo para el que se le nombraba, o bien renunciar al mismo por falta de contenido material, pues la Legislación es clara sobre las obligaciones que pesan sobre los administradores, las cuales no desaparecen aunque sean otras personas la que llevan la efectiva gestión de la Empresa” –STSJ Asturias 24/05/2006--. Por tanto queda acreditado que la Entidad-Partec—ha tratado datos de carácter personal sin diligencia en la obtención del consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energía o la posible repercusión a los “comerciales” bajo su dirección organizativa. En interpretación del art. 6.1 LOPD, la Audiencia Nacional ha venido manteniendo de forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento de inequívoco. En el caso, que nos ocupa estamos en el supuesto descrito: “Mi sorpresa es que empiezo a recibir facturas…”; “…no le dimos la cuenta bancaria, ni datos bancarios….ya que nos sentimos estafados”.—folio nº 1--. No puede dejar de señalarse que la representación legal de la Entidad denunciada—Partec Representaciones—dedica considerables esfuerzos argumentativos a descargar la responsabilidad en el “comercial”, si bien no consta acción penal alguna contra el mismo (vgr. presunto delito de estafa---ex art. 258 y ss LO 10/1995) aportada como medio de prueba admisible en Derecho en el seno del presente procedimiento. Adicionalmente, cabe reseñar que la Entidad denunciada –Partec Representaciones S.L—era una empresa (Task Force) cuya principal finalidad era la “captación de nuevos clientes”, para lo cual contaba con una organización jurídicamente creada y a su vez, encargaba la realización de las contrataciones a distintos “comerciales” bajo su supervisión obteniendo con ello una comisión; por todo ello le es exigible una mínima observancia de la normativa vigente en materia de protección de Datos. A tal efecto, la SAN 06/10/11 (Rec nº 342/2010) dictamina que: “Obviamente, la sanción a la empresa recurrente es independiente de la que hubiera podido imponerse a la empresa comercializadora y lo acertado de la sanción impuesta no puede verse empañado por la incoación ó no del expediente sancionador frente a Avanza y ello pues, además, a esta Sala no le consta si se ha seguido ó no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 expediente sancionador contra esta empresa”. También en el mismo sentido, se trae a colación el siguiente pronunciamiento de la Audiencia Nacional—SAN 02/12/10 (Rec. Nº 670/2009), ante la reiteración en las alegaciones de la Entidad denunciada—Partec—de su total falta de responsabilidad administrativa en la cuestión objeto del presente procedimiento. “Por tanto, el hecho de que la responsable del tratamiento y del fichero sea Endesa Energía y en esa condición tenga la obligación de asegurarse que contaba con el consentimiento de la denunciante para tratar sus datos de carácter personal, no exime a la recurrente como encargada de la captación de nuevos clientes del servicio de suministro eléctrico y de la formalización de la solicitud de suministro de gas natural facilitada por Endesa, de la obligación de realizar un mínimo trabajo de supervisión que, como señala la AEPD, permita detectar y controlar la regularidad de la recogida de datos por parte de sus agentes. Se trata de responsabilidades (la de Endesa Energía e Intecas) no excluyentes sino plenamente compatibles, conforme viene reiterando esta Sala en supuestos similares”. Por todo ello, se considera que la Entidad denunciada—Partec-- ha infringido el contenido del art. 6.1 LOPD y no puede esgrimir un desconocimiento de la normativa vigente en materia de protección de datos. IV Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). V A tenor de lo expuesto, queda acreditada indubitadamente la comisión de la infracción descrita en el art. 44.3
- b)LOPD por parte de la Entidad—Partec Representaciones S.L--. Recuérdese que las sanciones administrativas son imputables no sólo a título de dolo o culpa sino incluso de “mera inobservancia” –art. 131 Ley 30/92 RJ-PAC—y, por tanto, la Empresa Partec Representaciones S.L, no ha podido probar la obtención del consentimiento de la afectada, por lo que debe considerarse vulnerado el principio del consentimiento regulado en el art. 6.1 LOPD. El art. 45.5 LOPD establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos (…)”. En concreto, se tiene en cuenta la aplicación del art. 45.5 letra
- a)de la LOPD “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer a la Entidad—Partec—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto: La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. El volumen de negocios o actividad del infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. En el presente caso, la Entidad denunciada—Partec—la misma ostenta desde el punto de vista de su naturaleza jurídica, la condición de “encargado del tratamiento” (art. 3
- g)LOPD; el volumen de negocio de la misma es considerablemente inferior a la Entidad —responsable del fichero—(Galp): 3.006€ de capital social desembolsado; dispone de una menor práctica y conocimiento en la materia de protección de Datos que una gran compañía habituada al tráfico jurídico con datos personales. No acredita conforme a Derecho en que “consistía su actuación de revisión de la documentación” puesto que el titular del contrato es: D. B.B.B., sin embargo, el mismo está firmado por una mujer: Doña A.A.A.; los campos de contrato relativos a la persona que autoriza están en blanco, esto es, no han sido debidamente cumplimentados; no se aporta documento alguno (a modo de ejemplo autorización manuscrita del titular, escrito de la autorizada, DNI de alguno de ellos); no se ha realizado actividad alguna tendente a la comprobación de la actuación del comercial. A tal efecto, basta traer a colación la SAN-19/12/12 (Rec. 530/2011), que manifiesta lo siguiente: “Como establece la Ley, es necesario tal consentimiento, y ello también se debe aplicar, por tanto, en los casos de datos facilitados por parientes, como ha resuelto esta Sala, entre otras, en la Sentencia de la Audiencia Nacional de 6 de octubre de 2011 (rec. 342/2010), fundamento de derecho 4.º: "La aportación de datos por un pariente o persona de confianza de aquél... no puede entenderse como suficiente a la hora de entender prestado el consentimiento... lo relevante es el consentimiento del titular de los datos". Por todo ello se acordó en la resolución recurrida imponer a la Entidad denunciada—Partec Representaciones S.L—una sanción de 3.000€., sanción que por su cuantía se establece dentro de la escala de las infracciones leves. Por lo tanto, en el presente recurso de reposición, la Entidad recurrente Partec Representaciones S.L no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad PARTEC Representaciones S.L contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de noviembre de 2013, en el procedimiento sancionador PS/00379/2013. SEGUNDO: NOTIFICAR Representaciones S.L. la presente resolución a la entidad PARTEC De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es