← España

REPOSICION-PS-00380-2013

1/14 Procedimiento nº.: PS/00380/2013 ASUNTO: Recurso de Reposición Nº RR/00074/201 Examinado el recurso de reposición interpuesto por la entidad GALP ENERGIA ESPAÑA, S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00380/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 19 de diciembre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00380/2013 , en virtud de la cual se imponía a la entidad GALP ENERGIA ESPAÑA, S.A.U., una sanción de 50.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3

  1. b)LOPD, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en legal forma, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00380/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 17/08/12 se recibe en esta Agencia reclamación del afectado en la que pone de manifiesto que: “Me reclaman el pago de facturas sin haber contratado antes sus servicios. He intentado contactar con ellos en repetidas ocasiones para que me aclaren quién dio de alta el contrato que no tengo (…) –folio nº 1--. Segundo. En los sistemas de información de la Entidad denunciada—Galp Energía—constan los datos de carácter personal del afectado. La Entidad aporta copia de “presunto” contrato a nombre de Don A.A.A., con fecha 01/03/12. Nº de Cuenta Bancaria ***CCC.1 De una mera comparación entre las firmas, esto es, la aportada por el denunciante en su escrito ante esta Agencia y la que consta en el contrato aportado por la Entidad denunciada, se ha de señalar que las mismas no coinciden. El contrato no está acompañado de copia del DNI o documento de naturaleza similar, que acredite la autenticidad de la contratación. En comparecencia personal, el denunciante manifiesta expresamente que “la firma del contrato no es la suya, que ha sido falsificada y que no reconoce el nº de cuenta corriente vinculado en el contrato”—folios nº 145 y 146--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Tercero. La Entidad denunciada—Galp-- ha tratado los datos de carácter personal del afectado mediante la emisión de facturas.  Nº de Factura: ***FACTURA.1.Fecha de emisión: 22/03/12. Total importe: 11,04€.—folio nº 45--.  Nº de Factura: ***FACTURA.2. Fecha de emisión: 13/05/12. Total importe: 40,77€.—folio nº 46 y 47--.  Nº de Factura: ***FACTURA.3. Fecha de emisión: 25/07/12. Total a pagar: 480,09€.—folio nº 48 y 49--.  Nº de Factura: ***FACTURA.4. Fecha de emisión. 09/10/2012. Total factura: 23,77€.—folio nº 50 y 51--.  Nº de Factura: ***FACTURA.5. Fecha de emisión: 09/10/2012. Total factura. 442,30€.—folio nº 52 y 53--.  Nº de Factura: ***FACTURA.6. Fecha de emisión. 06/11/2012. Total factura. 60,04€.—folio nº 54--. Cuarto. En los sistemas de información de la Entidad denunciada—Galp— constan las reclamaciones del afectado: “Se recibe carta del cliente fecha 24/08/2012 dónde el cliente solicita baja de todos sus contratos por contrato fraudulento”—folio nº 36--. Reclamación de fecha en los sistemas: 12/09/12. Quinto. La Entidad encargada de la formalización y prestación del servicio de ventas es la Entidad denunciada—Partec- ; esta encargó a su vez al comercial: Don B.B.B. la labor de “promover y concluir la operación comercial”. La Entidad denunciada—Partec—no aporta copia del DNI o documento de naturaleza similar del afectado, que acredite que contaba con el consentimiento inequívoco del afectado. Entre las obligaciones de la Entidad denunciada—Partec—se encuentran según se desprende de la documentación contractual aportada las siguientes: “El Proveedor (Partec) deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo, y en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente en materia de protección de datos de carácter personal y sobre protección de los consumidores y usuarios”. “El Proveedor realizará el tratamiento necesario para la prestación de los servicios conforme a las obligaciones que se derivan de la LOPD, entre otras, las obligaciones de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al Proveedor”. “Las obligaciones establecidas para el Proveedor en la presente clausula serán también exigibles a sus empleados, colaboradores, tanto externos como internos y subcontratistas…”. TERCERO: La Entidad --GALP ENERGIA ESPAÑA, S.A.U--. ha presentado en fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 20/01/14 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: De la valoración de la certificación notarial. En repetidas ocasiones esta AEPD ha venido sancionando a la compañía por supuestos incumplimientos de la normativa de protección de Datos. Según el art. 198 del Reglamento de la organización y régimen del Notariado “los Notarios previa instancia de parte (…) extenderán y autorización actas en que se consignen los hechos y circunstancias que presencien o les consten y que por su naturaleza no sean materia de contrato”. El acta notarial prueba de manera incontestable el hecho que constituye su objeto, sin que sea discutible ni siquiera en sede judicial, salvo querella de falsedad. El art. 199 del citado Reglamento “las actas notariales de presencia acreditan la realidad o verdad del hecho que motiva su autorización”. En el presente supuesto, el Acta presentada por Galp es un Acta de presencia y protocolarización que teniendo en cuenta lo anteriormente expuesto si acredita fehacientemente el bloqueo de los datos. De aplicación del principio de proporcionalidad. La Compañía reitera las alegaciones efectuadas anteriormente en relación a la aplicación de los criterios de graduación establecidos en el art. 45.4 LOPD. De la responsabilidad de Galp. La compañía acepta su responsabilidad por la comisión de la infracción imputada por esta Agencia en lo relativo al tratamiento de los datos del denunciante proporcionados por Partec, sin disponer del consentimiento inequívoco del afectado pero reitera que será de aplicación el art. 45.5 LOPD al concurrir los criterios recogidos en los siguientes apartados:     Referente al carácter continuado de la infracción: al día siguiente de recibir la primera reclamación del afectado se le remite una carta al cliente indicándole la cancelación cautelar de los servicios de mantenimiento (…). Referente a los beneficios obtenidos: éstos no han existido al haberse anulado las facturas. Referente al grado de intencionalidad, no concurre en la Compañía al tratarse de una contratación realizada por un encargado del tratamiento. Referente a la naturaleza de los perjuicios ocasionados: se han anulado o compensado las facturas, no existiendo deuda pendiente y los datos del denunciante se han cancelado y bloqueado. Considerando que concurren los criterios de los apartados a), e),
  2. f)y
  3. h)del art. 45.4 LOPD, resultaría de aplicación lo dispuesto en el art. 45
  4. a)de la LOPD en el caso de la Compañía. Por todo ello solicita la interposición del presente Recurso y se aplique el art. 45.4 y 5 de la LOPD de forma que a la infracción se imponga sanción en cuantía mínima correspondiente a la escala de las infracciones leves. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II Antes de entrar en el fondo del asunto que nos ocupa, hemos proceder a realizar una serie de puntualizaciones sobre la alegación de la Entidad recurrente-Galp--: centradas en la valoración de la certificación registral. El art. 198 del Reglamento de la organización y régimen del Notariado “los Notarios, previa instancia de parte (…) extenderán y autorizarán actas en que se consignen los hechos y circunstancias que presencien o les consten y que por su naturaleza no sean materia de contrato”. Por parte de esta Agencia se han realizado diversas Inspecciones en las dependencias de la Entidad denunciada—Galp Energía--: E/0321/2012, E/06149/2012, E/03777/2012 ó E/05980/2012 entre otras, cuyas fechas se encuadran desde el 11/02/12 hasta el 26/02/13. La finalidad de las mismas era constatar entre otras cuestiones si el sistema implementado por la Entidad denunciada podía de oficio o desde la primera reclamación del afectado: detectar y anotar la posibilidad de una contratación fraudulenta, así como, la reacción desplegada frente a las irregularidades detectadas. Las conclusiones recogidas en las Actas de Inspección se resumieron en los siguientes aspectos a fecha 20 de junio del año 2013: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14     Galp no ha desarrollado un procedimiento válido y detallado sobre las actuaciones a realizar por los operadores de las Empresas contratadas ante una reclamación. El sistema informático de Galp no permite detectar contratos fraudulentos. Tampoco un campo que permita identificar datos bloqueados o cancelados. Un porcentaje alto de clientes a fecha 20/06/13 se mantiene con deudas pendientes a la espera de una posterior anulación (…). En ningún caso se han dirigido a los clientes para informarles de las acciones adoptadas. En los procedimientos en tramitación en esta AEPD, la Entidad denunciada comienza a aportar copia de carta dirigida mediante burofax a los clientes con fecha 28/06/13. En las mismas se disculpa con sus clientes de los daños y perjuicios que se le hayan podido ocasionar. Junto a ello, manifiesta que ha obtenido una certificación notarial de fecha 08/10/13 en dónde se determina que han efectuado de forma efectiva todos los cambios necesarios en el sistema de información de Galp que gestiona los clientes de la compañía, con la finalidad de poder bloquear los datos de los mismos dando respuesta al ejercicio de sus derechos en cumplimiento de lo previsto en el art. 16.3 LOPD. Sin entrar en valoraciones jurídicas, dado que no se pone en tela de juicio la presunción iuris tantum del acta notarial aportada, cabe señalar que la actuación notarial viene a dar fe de la información aportada por la Entidad recurrente sin que pueda acreditar la implantación interna efectiva de los extremos declarados. No se procede a explicar el proceso seguido, esto es, se guarda silencio sobre todos los aspectos relevantes para poder apreciar en buena lógica el cumplimiento de la LOPD, puesto que lo que muestra la pantalla es sólo el resultado de la interpretación de un Código. El acta Notarial debe explicar para ser conforme a la LOPD todo el proceso seguido de conformidad a parámetros de auditoría ajustados a unos requisitos técnicos e informáticos. Pero es más, a los efectos de ponderar la posible aplicación de una atenuación prevista en el artículo 45.5 de la LOPD deben hacerse algunas puntualizaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 En primer lugar, debe reproducirse el siguiente pronunciamiento de la AN—SAN 30/06/2007—relativo a la adopción de “medidas correctoras a posteriori”. “No es necesario hacer especiales esfuerzos argumentales para llegar a la conclusión que las medidas adoptadas a posteriori de la comisión de la infracción, no pueden disminuir la culpabilidad de ésta pues deberían haberse puesto en funcionamiento antes y no después”. Pero es más, de un análisis de la reacción de la entidad recurrente tras la primera reclamación del afectado no se deduce una diligencia suficiente para regularizar la situación irregular. Así, tras la primera reclamación en sus sistemas reclamación en fecha 24/08/12 en dónde el denunciante ya manifestaba “solicitud de baja de todos sus contratos por contratación fraudulenta”—folio nº 36-- hasta el envió de burofax por la Entidad recurrente –28/06/13— transcurren casi 10 meses sin que de tal circunstancia se derive a juicio de esta Agencia una respuesta diligente ante los hechos que son objeto de denuncia. En consecuencia, corresponde aplicar lo recogido en la STS, Sala 3ª, de 3 de diciembre de 2008 (Rec. 6602/2004) en el sentido de que el principio fundamental que late y preside el proceso de graduación de las sanciones es el principio de proporcionalidad que, según el artículo 131.3 de la LRJPA, implica "guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada". III En el presente caso, se procede a analizar la denuncia con fecha de entrada en esta AEPD 17/08/12 en la que el epigrafiado manifiesta de manera sucinta que: “Me reclaman el pago de facturas sin haber contratado antes sus servicios. He intentado contactar con ellos en repetidas ocasiones para que me aclaren quién dio de alta el contrato que no tengo (…) –folio nº 1--. La Entidad denunciada—Galp—como responsable del fichero (art. 3 LOPD) manifiesta que: “Estos servicios se prestan con la cobertura de un contrato por escrito firmado por el denunciante, el cual consta en el expediente como documento nº 29”. En fase de instrucción—ex art. 78 Ley 30/92—se procede a constatar que en los sistemas de información de la Entidad denunciada—Galp—consta copia de un contrato, en dónde se activan los siguientes servicios: Gas Natural, Electricidad y otros servicios (ConfortGas y ConfortHogar) asociados al titular de los datos: D: A.A.A., si bien examinadas las firmas y cotejadas con la aportada en la solicitud ante esta AEPD por el denunciante: prima facie las mismas no coinciden de manera palmaria. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 Item, no consta aportado ningún documento que acredite el consentimiento expreso del afectado (vgr. DNI o documento de naturaleza similar) ni consta acreditado que por la Entidad—Galp—se haya realizado actividad alguna de comprobación de la identidad del titular de los datos en orden a la activación de los servicios “presuntamente” contratados. A mayor abundamiento, el denunciante manifiesta en presencia del órgano Instructor y tras el análisis del contrato aportado “que la firma no es la suya, que ha sido falsificada”; exponiendo copia del DNI estando vigente y en legal forma a día de la fecha. La infracción cuya comisión se atribuye a la entidad denunciada—Galp--consiste en el tratamiento de datos personales del denunciante sin su consentimiento, mediante su incorporación a sus ficheros como titular de los contratos anteriormente mencionados y la emisión de facturas por los distintos consumos de los servicios a cargo de éste. El art. 3
  5. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Pero, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). En el presente caso, el afectado niega en todo momento haber dado consentimiento alguno para el alta de los servicios, que son objeto de facturación por la Entidad denunciada—Galp—“sin haber contratado antes sus servicios” (folio nº 1). Es decir, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues salvo las excepciones establecidas en la Ley solo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que tal consentimiento ha sido prestado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Interpretación ésta que es la más acorde con lo dispuesto no solo en el citado art. 6.1 de la LOPD , sino también en la Directiva 95/46/CE que en su art. 7 preceptúa que los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si el afectado ha dado el consentimiento de forma inequívoca. Existe una consolidada Jurisprudencia de la Audiencia Nacional en casos similares al que nos ocupan: -SAN 10/06/11 “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más la firma del contrato se corresponde con la inquilina de la vivienda”. -SAN 18/03/11 “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de servicios S.A no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos y, ello sin perjuicio de la responsabilidad en que pueda haber incurrido la distribuidora Avanza respecto de la hoy recurrente”. -SAN 06/10/11 “No ha podido acreditar el cumplimiento de las exigencias mínimas impuestas por la diligencia normal en la contratación telefónica que habrían obligado a conservar y custodiar la documentación personal del cliente (DNI, pasaporte) o haber acreditado alguna actividad posterior a la contratación para verificar la realidad de esta; ni se uso la técnica de la llamada de comprobación ni se cotejó mínimamente la documentación remitida por la Empresa comercializadora exigiendo la entrega de una simple fotocopia del DNI”. Así las cosas, no consta que los datos de carácter personal del denunciante, materializado en la contratación de los servicios referenciados (vgr. Gas natural, electricidad, etc), se realizaran con su consentimiento, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
  6. b)de la LOPD, no habiendo probado nada al respecto la parte actora, y no encontrándonos en ninguno de los supuestos contemplados en el art. 6.2 de la LOPD en los que no es preciso el consentimiento del afectado. Por consiguiente, se ha de concluir que existe culpa o falta de diligencia que se aprecia en el caso de autos, al haberse realizado el tratamiento de los datos personales del denunciante sin su consentimiento, por lo que, considera esta AEPD, que resulta acreditada la infracción atribuida a la Entidad denunciada—Galp Energía--. IV Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). V En el presente escrito de Recurso, tras la aceptación “de la responsabilidad de la Compañía por el tratamiento inconsentido del titular de los datos” alega su disconformidad en la sanción impuesta por la AEPD, considerando que se debe aplicar el art. 45.5 LOPD. El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Por tanto, no se considera que concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5 de la LOPD. En el presente caso, la Entidad denunciada—Galp—procedió al alta de varios servicios (Gas, electricidad, Confortgas básico y Conforthogar) sin contar con el consentimiento inequívoco del titular de los datos. A mayor abundamiento, no dispone en sus sistemas copia/fotocopia del DNI o NIE del afectado, ni acredita haber realizado actividad alguna de verificación de la identidad del titular de los datos. Contrariamente a lo argumentado por la representación legal de la Entidad denunciada—Galp--, tras efectuarse comprobaciones por el servicio de Inspección de la Subdirección General de Inspección de la AEPD (vgr. Acta de Inspección E/06149/2012) se constata:  El sistema informático de Galp no permite detectar contratos fraudulentos, así como, tampoco un campo que permita identificar datos bloqueados o cancelados.  Galp ha contratado los servicios de dos Entidades externas para resolver las reclamaciones presentadas por sus clientes, pero no se ha firmado ningún contrato por escrito con las mismas. No es hasta la siguiente fecha—08/10/13 cuando la Entidad recurrente—Galp-- puede mediante certificación notarial acreditar “el bloqueo de los datos del afectado” en sus sistemas; sin que procede a explicar en detalle todo el proceso a esta AEPD conforme a criterios sustentados en la LOPD. La reacción (carta de disculpas al afectado) está fechada según copia de la misma: 28/06/13; esto es; una vez iniciadas las presentes actuaciones y tras dos actas de Inspección (E/05827/2012) y la mencionada (E/06149/2012) en dónde se vuelve a constatar la deficiente actuación del responsable del fichero en el cumplimiento de la normativa vigente en materia de LOPD. La primera reclamación que consta en los sistemas de información de la Entidad —Galp—(folio nº 36) data de la siguiente fecha: 24/08/12 “Se recibe carta cliente dónde solicita baja de todos sus contratos por contrato fraudulento”. Con fecha 13/09/12 se envía por la Entidad denunciada—Galp—carta al denunciante en dónde se le comunica “que el servicio de Gas se encuentra en activo (…)—folio nº 36--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 A raíz de reclamación del denunciante en el organismo competente de la CCAA (Madrid) se emite contestación por la Entidad—Galp-- de fecha 06/11/12 “indicando que sólo queda pendiente de pago la factura nº ***FACTURA.4 de fecha 9 de octubre de 2012 por importe de 23,77€ (…)”. Con fecha 19/03/13 la Entidad denunciada—Galp—tiene conocimiento tras la remisión de la denuncia por esta AEPD de los “hechos” que se debaten y, finalmente, se aporta copia de carta de fecha 28/06/13 en dónde se le informa al denunciante “que se ha procedido a la cancelación de la deuda a su nombre”. La infracción apreciada consiste en tratar los datos de carácter personal con vulneración del principio del consentimiento consagrado en el artículo 6 de la LOPD, que dispone "1.-El tratamiento automatizado de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa". Dicha infracción se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, apreciándose en el supuesto de autos una falta de diligencia en la actuación de Galp Energía al no haber realizado las verificaciones oportunas para constatar si la denunciante había prestado realmente su consentimiento para darle de alta en el servicio y tratar en definitiva sus datos personales. El hecho de que el servicio “Electricidad” que fue dado de alta 20/03/12, no llegará a “activarse” es intranscendente desde el punto de vista de la modulación de la sanción: pues se activaron sin su consentimiento los servicios (Gas, ConfortHogar y ConfortGas Básico) emitiéndose facturas con los datos personales del afectado sin contar con su consentimiento. El art. 54 de la Ley 30/92, 26 de noviembre dispone que: “Serán motivados, con sucinta referencia de hechos y fundamentos de derecho:
  17. a)Los actos que limiten derechos subjetivos o intereses legítimos”. A la hora de motivar la sanción a imponer a la Entidad—Galp Energía—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  El carácter continuado de la infracción.—45.4
  18. a)LOPD--.  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal. 45. 4
  19. c)LOPD. Galp es una Entidad habituada al trato con los “potenciales” clientes en el suministro de gas, electricidad y otros servicios, que viene a facturar tratando los datos de carácter personal de los afectados.  El volumen de negocios o actividad del infractor. Con carácter ilustrativo, Galp obtuvo de beneficio líquido en el año 2012 unos aproximadamente 359 millones de euros. 45. 4
  20. d)LOPD.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
  21. h)LOPD. Como resumen, de lo expuesto, ha quedado acreditado que la Entidad denunciada—Galp-- no contaba con el “consentimiento inequívoco” del afectado, la firma que consta en el contrato aportado no se corresponde con la del afectado (folio nº 145), el nº de cuenta corriente plasmado en el mismo no está asociado al denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 (folio nº 146); no se procedió a realizar actividad de verificación alguna (vgr. llama de bienvenida, envió de copia del contrato para ser debidamente cumplimentado, adjuntar copia del DNI, etc). La Entidad denunciada—Galp—tiene la naturaleza jurídica de “responsable del fichero” (art. 3
  22. d)LOPD), ha procedido a tratar los datos del afectado mediante la emisión de facturas (folio nº 4 a 8); se trata de una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que debe ser especialmente cuidadosa con dichos tratamientos y, finalmente, a pesar de las reclamaciones del afectado, que constan en los sistemas de información “se recibe carta cliente fecha 24/08/12 solicita baja de todos sus contratos por contrato fraudulento”— folio nº 36—la capacidad de respuesta de la misma fue claramente negligente. Por todo ello se acuerda confirmar la sanción impuesta a la Entidad—Galp Energía—cuya cuantía se cifró en la cantidad de 50.000€. Por lo tanto, en el presente recurso de reposición, la Entidad -- GALP ENERGIA ESPAÑA, S.A.U.--- no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad --GALP ENERGIA ESPAÑA, S.A.U--. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 19 de diciembre de 2013, en el procedimiento sancionador PS/00380/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad --GALP ENERGIA ESPAÑA, S.A.U.--. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.