1/15 Procedimiento nº.: PS/00380/2013 ASUNTO: Recurso de Reposición Nº RR/00109/2014 Examinado el recurso de reposición interpuesto por la entidad Partec Representaciones S.L contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00380/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 19 de diciembre de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00380/2013 , en virtud de la cual se imponía a la entidad Partec Representaciones S.L, una sanción de 3.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3
- b), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en legal forma—ex art. 58 y 59 Ley 30/92, 26 de noviembre--, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00380/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 17/08/12 se recibe en esta Agencia reclamación del afectado en la que pone de manifiesto que: “Me reclaman el pago de facturas sin haber contratado antes sus servicios. He intentado contactar con ellos en repetidas ocasiones para que me aclaren quién dio de alta el contrato que no tengo (…) –folio nº 1--. Segundo. En los sistemas de información de la Entidad denunciada—Galp Energía—constan los datos de carácter personal del afectado. La Entidad aporta copia de “presunto” contrato a nombre de Don A.A.A., con fecha 01/03/12. Nº de Cuenta Bancaria ***CCC.1 De una mera comparación entre las firmas, esto es, la aportada por el denunciante en su escrito ante esta Agencia y la que consta en el contrato aportado por la Entidad denunciada, se ha de señalar que las mismas no coinciden. El contrato no está acompañado de copia del DNI o documento de naturaleza similar, que acredite la autenticidad de la contratación. En comparecencia personal, el denunciante manifiesta expresamente que “la firma del contrato no es la suya, que ha sido falsificada y que no reconoce el nº de cuenta corriente vinculado en el contrato”—folios nº 145 y 146--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 Tercero. La Entidad denunciada—Galp-- ha tratado los datos de carácter personal del afectado mediante la emisión de facturas. Nº de Factura: ***FACTURA.1.Fecha de emisión: 22/03/12. Total importe: 11,04€.—folio nº 45--. Nº de Factura: ***FACTURA.2. Fecha de emisión: 13/05/12. Total importe: 40,77€.—folio nº 46 y 47--. Nº de Factura: ***FACTURA.3. Fecha de emisión: 25/07/12. Total a pagar: 480,09€.—folio nº 48 y 49--. Nº de Factura: ***FACTURA.4. Fecha de emisión. 09/10/2012. Total factura: 23,77€.—folio nº 50 y 51--. Nº de Factura: ***FACTURA.5. Fecha de emisión: 09/10/2012. Total factura. 442,30€.—folio nº 52 y 53--. Nº de Factura: ***FACTURA.6. Fecha de emisión. 06/11/2012. Total factura. 60,04€.—folio nº 54--. Cuarto. En los sistemas de información de la Entidad denunciada—Galp— constan las reclamaciones del afectado: “Se recibe carta del cliente fecha 24/08/2012 dónde el cliente solicita baja de todos sus contratos por contrato fraudulento”—folio nº 36--. Reclamación de fecha en los sistemas: 12/09/12. Quinto. La Entidad encargada de la formalización y prestación del servicio de ventas es la Entidad denunciada—Partec- ; esta encargó a su vez al comercial: Don B.B.B. la labor de “promover y concluir la operación comercial”. La Entidad denunciada—Partec—no aporta copia del DNI o documento de naturaleza similar del afectado, que acredite que contaba con el consentimiento inequívoco del afectado. Entre las obligaciones de la Entidad denunciada—Partec—se encuentran según se desprende de la documentación contractual aportada las siguientes: “El Proveedor (Partec) deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo, y en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente en materia de protección de datos de carácter personal y sobre protección de los consumidores y usuarios”. “El Proveedor realizará el tratamiento necesario para la prestación de los servicios conforme a las obligaciones que se derivan de la LOPD, entre otras, las obligaciones de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al Proveedor”. “Las obligaciones establecidas para el Proveedor en la presente clausula serán también exigibles a sus empleados, colaboradores, tanto externos como internos y subcontratistas…”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 TERCERO: La Entidad sancionada Partec Representaciones S.L ha presentado en fecha 04/02/14, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: “De las notificaciones a través de la mensajería privada. El pasado 28 de diciembre de 2013 se publicó en el BOE un anuncio en el que se manifestaba que Partec no había atendido a dos intentos de notificación. Sin embargo, Partec no tiene constancia alguna de esos intentos de notificación por parte de la AEPD. A fecha 03/02/14 todavía no hemos recibido copia de estos intentos de notificación, que deberían, sin embargo, constar en el Expediente, según dicta la Ley Orgánica 30/92, en el art. 59.1. Por nuestra parte, creemos necesario destacar que Partec siempre ha estado a disposición de la AEPD en todo momento. Hasta el día de hoy todas las notificaciones de correos han sido atendidas y no ha sido rehusada ni una sola. Desafortunadamente no tenemos otro domicilio al que puedan dirigirse las notificaciones. Es la Entidad estatal --Correos y Telégrafos S.A-- el único agente postal que gozará de esa presunción de veracidad y fehaciencia, por lo que el resto de operadores no gozarán de la misma. Es necesario dictar nulidad de actuaciones, puesto que se ha violado de forma flagrante el art. 62.2 Ley 30/92, ya que se vulnera el art. 59.1 Ley 30/92 porque las notificaciones de mensajería no tienen veracidad y fehaciencia suficiente para acreditar que se realizaron las notificaciones. Ha de ser la Empresa de mensajería quien demuestre de forma efectiva que realizó las notificaciones, pues recae sobre la misma la carga probatoria. En caso contrario, se estaría vulnerando el derecho a la tutela judicial efectiva, recogida en el art. 24.2 CE. De la falta de responsabilidad de Partec. La composición del caso que nos ocupa hace que el grado de responsabilidad de Partec sea nulo, o al menos deba ser compartido con el resto de agentes intervinientes en el tratamiento. Respecto a la tenencia de una copia del DNI del cliente, hay que señalar que el comercial seguía las Instrucciones de Galp, como era su obligación. Por eso, el comercial en ningún momento requirió copia de un documento de identificación, puesto que, Galp no requirió su aportación como parte de la documentación contractual hasta el 31 de mayo de 202 y ello sólo con respecto a los contratos firmados por terceros que firmasen en representación del titular del servicio (…). Por todo lo expuesto, solicito que teniendo por presentado este escrito contra la Resolución de fecha 28 de diciembre de 2013 dictada por la AEPD en la que se deniegan las medidas probatorias solicitadas por esta parte y, realizados los trámites oportunos, lo admita ordenando las medidas probatorias en su momento solicitadas”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II Es necesario antes de proceder a analizar el recurso planteado, señalar que por parte del Director de la AEPD se dictó Resolución en fecha 19/12/13; siendo objeto de notificación administrativa al domicilio aportado en fecha 20/12/13; constando en el expediente el doble intento de notificación debidamente acreditado—folios nº 253 a 280--. Por la Entidad recurrente—Partec—se presenta escrito de recurso en esta Agencia en fecha 04/02/14—febrero 2014--; lo que conlleva que el escrito presentado tendría carácter extemporáneo. A tal efecto, el art. 117 de la Ley 30/92, 26 de noviembre—LRJ-PAC—dispone que: “1. El plazo para la interposición del recurso de reposición será de un mes, si el acto fuera expreso. Si no lo fuera, el plazo será de tres meses y se contará, para el solicitante y otros posibles interesados, a partir del día siguiente a aquel en que, de acuerdo con su normativa específica, se produzca el acto presunto. Transcurridos dichos plazos, únicamente podrá interponerse recurso contencioso-administrativo, sin perjuicio, en su caso, de la procedencia del recurso extraordinario de revisión”. Igualmente, consta acreditada en el expediente administrativo la notificación supletoria—ex art. 59 Ley 30/92—en el Boletín Oficial del Estado (B.O.E) y en el tablón de edictos del Ayuntamiento de Alcorcón en fecha 28/12/13—. El plazo de un mes para la interposición del Recurso es de caducidad como sucede con el plazo para interponer el resto de los recursos administrativos—TS 10/11/98--. El cumplimiento de los plazos procesales para interponer recursos no es una mera exigencia formal, sino que se arbitra como presupuesto que mira a la buena ordenación del procedimiento y representa una garantía esencial de seguridad jurídica, que actúa como plazo de caducidad; no siendo susceptible de ser ampliado por arbitrio de las partes –Tco Auto 159/1996; TS 13/02/98, RJ 2091---. No obstante, lo anterior esta Agencia entra a valorar el contenido del recurso presentado, en aras de evitar cualquier afectación al ejercicio efectivo de su derecho de defensa—ex art. 24.2 CE--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 III En primer término, hemos de entrar a valorar la solicitud de la Entidad recurrente— Partec—relativa a: Nulidad de actuaciones por vulneración del art. 62.2 Ley 30/92, en conexión con el art. 59 de la referida Ley. Contrariamente a lo argumentado por la Entidad recurrente—Partec--, la Ley 30/92, 26 de noviembre, no tiene el carácter de Ley Orgánica—cuyas características vienen reguladas en el art. 81 CE 1978--, sino el carácter de Ley ordinaria que regula el régimen jurídico de las Administraciones Públicas. El art. 59 de la Ley 30/92, 26 de noviembre dispone que:“Las notificaciones se practicarán por cualquier medio que permita tener constancia de la recepción por el interesado o su representante, así como de la fecha, la identidad y el contenido del acto notificado La acreditación de la notificación efectuada se incorporará al expediente”. En el expediente consta como último domicilio de referencia a efectos de notificaciones establecido por el denunciado: (C/......................1) Madrid. Por parte de esta AEPD se intento notificar en el domicilio aportado por el denunciado en las siguientes fechas: 20/12/13 primer intento de notificación, constando como “Ausente” a las 12:48 y se procedió a un segundo intento de notificación en fecha 20/12/13 en dónde consta como “La persona que me atendió no está autorizada para recoger el envió” a las 17:00”. Consta acreditado documentalmente en el Expediente administrativo, el doble intento de notificación—folios nº 253 y 254--. La fecha que consta como dies a quo—fecha de inicio—marcada por el Acuerdo de Inicio del Director de la AEPD es la siguiente: 28/06/13 – junio 2013--; constando como fecha de término del procedimiento sancionador—dies a quem--:28/12/13 – diciembre del año 2013. Por tanto, los dos intentos de notificación en el lugar establecido por el afectado a efectos de notificaciones administrativas se produjeron dentro del plazo marcado legalmente “…intento que se repetirá por una sola vez y en una hora distinta dentro de los tres días siguientes”. El Tribunal Supremo en su reciente sentencia de 3 de diciembre del año 2013 rectifica su doctrina legal sobre el art. 58.4 de la Ley 30/1992, relativo a la obligación de notificar las resoluciones o actos administrativos dentro del plazo máximo de duración de los procedimientos. “Rectificamos la doctrina legal declarada en la sentencia de este Tribunal Supremo de fecha 17 de noviembre de 2003, dictada en el recurso de casación en interés de la Ley número 128/2002, en el sentido, y sólo en él, de sustituir la frase de su párrafo segundo que dice «[...] el intento de notificación queda culminado, a los efectos del artículo 58.4 de la Ley 30/1992, en el momento en que la Administración reciba la devolución del envío, por no haberse logrado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 practicar la notificación [...]», por esta otra: «el intento de notificación queda culminado, a los efectos del artículo 58.4 de la Ley 30/1992, en la fecha en que se llevó a cabo”. De esta manera cabe señalar que la doctrina del Alto Tribunal queda fijada como sigue: “Que el inciso intento de notificación debidamente acreditado que emplea el artículo 58.4 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, se refiere al intento de notificación personal por cualquier procedimiento que cumpla con las exigencias legales contempladas en el artículo 59.1 de la Ley 30/1992, pero que resulte infructuoso por cualquier circunstancia y que quede debidamente acreditado. De esta manera, bastará para entender concluso un procedimiento administrativo dentro del plazo máximo que la ley le asigne, en aplicación del referido artículo 58.4 de la Ley 30/1992, el intento de notificación por cualquier medio legalmente admisible según los términos del artículo 59 de la Ley 30/1992, y que se practique con todas las garantías legales aunque resulte frustrado finalmente, y siempre que quede debida constancia del mismo en el expediente. En relación con la práctica de la notificación por medio de correo certificado con acuse de recibo, el intento de notificación queda culminado, a los efectos del artículo 58.4 de la Ley 30/1992, en la fecha en que se llevó a cabo, siempre que quede constancia de ello en el expediente”. Cabe indicar que el principio de la buena fe no sólo debe guiar la actuación de la Administración con respecto a los administrados, tal y como dispone el art. 3 LRJ-PAC, sino que también ha de presidir el ejercicio de toda clase de derechos por los particulares por imperativo del art. 7 CC. Los intentos de notificación se han producido reiteradamente en el domicilio designado por la Entidad recurrente, sin que esta Agencia pueda responder de la ausencia habitual de persona alguna en el mismo. En aquellos supuestos en los que se respetan en la notificación todas las formalidades establecidas en las normas, y teniendo dichas formalidades como única finalidad la de garantizar que el acto o resolución ha llegado a conocimiento del interesado, debe partirse en todo caso de la presunción - iuris tantum - de que el acto de que se trate ha llegado tempestivamente a conocimiento del interesado; sin que la actuación “torticera” del interesado en evitar la misma haga recaer las consecuencias negativas en la propia Administración. Este aspecto, ya ha quedado constatado en el conjunto de procedimientos abiertos y en estado de tramitación frente a la Entidad denunciada—Partec— (por todas: PS/00441/2013 ó PS/00444/2013) sin que se haya procedido a facilitar por el afectado un domicilio alternativo que permita las notificaciones de manera efectiva. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 Debe tenerse presente que tras la liberalización de la prestación de servicios postales no existe monopolio para la válida notificación y nada impide que las Administraciones Públicas puedan contratar con empresas privadas (*Empresas de mensajería) el servicio de notificación. Sobre la validez de las notificaciones a través de un sistema distinto del Servicio Oficial de Correos hay que traer a colación los siguientes pronunciamientos, que aclaran lo siguiente al respecto: “Es importante precisar que pese a la reserva legal establecida a favor de operador de servicio público universal, la notificación efectuada por dicha vía puede ser válida, pues en definitiva lo relevante es acreditar que la comunicación ha llegado a su destino y que contiene todas las menciones exigidas por la Ley”—STJ Castilla La Mancha 2006--. A mayor abundamiento, es necesario también detenerse en la lectura de la siguiente Sentencia—STSJ Baleares 575/2012, 4 de septiembre--. “La ausencia en el domicilio del interesado de persona alguna que se haga cargo de la notificación no puede frustrar la actividad administrativa, habida cuenta, por otra parte, que el principio de buena fe en las relaciones administrativas impone a los administrados un deber de colaboración con la Administración en la recepción de los actos de comunicación que aquélla les dirija y que el intento fallido de notificación ha de ir seguido de la introducción en el correspondiente casillero domiciliario del aviso de llegada, en el que se hará constar las dependencias del servicio postal donde el interesado puede recoger la notificación ". Por consiguiente, el Tribunal Supremo, ha establecido la doctrina legal de que la expresión en una hora distinta determina la validez de cualquier notificación que guarde una diferencia de al menos sesenta minutos a la hora en que se practicó el primer intento de notificación”. En el presente caso, se realizó la notificación del acto administrativo en el domicilio facilitado por la parte denunciante, realizándose un doble intento de notificación en “horas distintas”—horario mañana y tarde—sin que en el domicilio aportado hubiera persona física alguna o la que se encontraba “no accedió a recoger la notificación administrativa”; consta en el Expediente el correspondiente certificado de la Empresa de mensajería—MRW—con la diligencia debida para la notificación del acto administrativo y “en una hora distinta dentro de los tres días siguientes”. Por último, se procede a la notificación supletoria—B.O.E—una vez realizado el doble intento de notificación, que resulta fallido por causa imputable al denunciado; constando como fecha de publicación: 28 de diciembre del año 2013, esto es, dentro del plazo legalmente establecido. A mayor abundamiento, se ha admitido a trámite el presente Recurso de la Entidad sancionada—Partec—en dónde por un órgano distinto al órgano Instructor, se procede a revisar nuevamente todo el Expediente, analizando pormenorizadamente las argumentaciones expuestas en relación a los “hechos” que se le imputan. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 Por todo lo expuesto, se procede a desestimar la solicitud de nulidad del procedimiento—ex art. 62.2 Ley 30/92—. IV En el presente caso, se procede a analizar la denuncia con fecha de entrada en esta AEPD 17/08/12 en la que el epigrafiado manifiesta de manera sucinta que: “Me reclaman el pago de facturas sin haber contratado antes sus servicios. He intentado contactar con ellos en repetidas ocasiones para que me aclaren quién dio de alta el contrato que no tengo (…) –folio nº 1--. La Entidad denunciada—Galp—como responsable del fichero (art. 3 LOPD) manifiesta en fecha que: “Estos servicios se prestan con la cobertura de un contrato por escrito firmado por el denunciante, el cual consta en el expediente como documento nº 29”. En fase de instrucción—ex art. 78 Ley 30/92—se procede a constatar que en los sistemas de información de la Entidad denunciada—Galp—consta copia de un contrato, en dónde se activan los siguientes servicios: Gas Natural, Electricidad y otros servicios (ConfortGas y ConfortHogar) asociados al titular de los datos: D: A.A.A., si bien examinadas las firmas y cotejadas con la aportada en la solicitud ante esta AEPD por el denunciante: prima facie las mismas no coinciden de manera palmaria. Adicionalmente, no consta aportado ningún documento que acredite el consentimiento expreso del afectado (a modo de ilustrativo: DNI o documento de naturaleza similar) ni consta acreditado que por la Entidad—Galp—se haya realizado actividad alguna de comprobación de la identidad del titular de los datos en orden a la activación de los servicios “presuntamente” contratados. A mayor abundamiento, el denunciante manifiesta en presencia del órgano Instructor y tras el análisis del contrato aportado “que la firma no es la suya, que ha sido falsificada”; exponiendo copia del DNI estando vigente y en legal forma a día de la fecha. La Entidad-PARTEC—formalizó un contrato con la Entidad Galp Energía que tenía por objeto: “Es objeto del presente Acuerdo regular los términos y condiciones que van a regir en la prestación por parte del PROVEEDOR de los servicios de promoción comercial y fuerza de ventas de los productos y servicios ofrecidos por Galp Energia (en adelante los “Servcios”). Esta figura se enmarca dentro de la modalidad de contrato de comisión mercantil regulada con carácter general en el art. 244 y ss del Código de Comercio. “Se reputará comisión mercantil el mandato, cuando tenga por objeto un acto u operación de comercio y sea comerciante o agente mediador del comercio el comitente o el comisionista”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 Dentro del marco de la Legislación vigente en materia de protección de datos, conviene acotar dos aspectos: Primero, la Entidad—PARTEC- ostenta la condición de encargado del tratamiento—art. 3
- g)LOPD—que dispone: “Encargado del tratamiento: la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. Segundo. Consentimiento. El art. 3
- h)de la LOPD—LO 15/1999—dispone que: “Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía—de fecha 15/02/12. A saber: “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. --. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado” La Entidad—Partec—alega en fecha 24/07/13 que: “mi mandante es un prestador de servicios de fuerzas de ventas de Galp Energía España S.A.U, empresa proveedora de los servicios que nos ocupan y responsable última de la gestión de dichos datos”. “Nuestra labor, por lo tanto, se realiza estrictamente bajo la responsabilidad de Galp y según sus instrucciones, asumiendo Partec la condición de encargada del tratamiento (…)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 “La relación que vincula a Partec con el “comercial” es de carácter mercantil (relación entre dos empresarios independientes, según se acredita con la copia del contrato suscrito y en cuya estipulación segunda se indica que “El agente se obliga frente a la Empresa a promover y concluir las operaciones especificadas por la empresa, por cuenta ajena”. Cabe recordar, en este sentido, la interpretación que realiza la Audiencia Nacional— SAN 2172/2013 (Rec. nº 25/2010) respecto a la responsabilidad concurrente entre el responsable del fichero y el encargado del tratamiento. “A mayor abundamiento, además, y como igualmente hemos sostenido en la Sentencia de 13 de abril de 2005 (recurso nº. 241/2003 ) lo que determina la Ley Orgánica 15/1999 en el art. 12.4 que invoca la parte demandante, es que en caso de que el encargado del tratamiento destine los datos a una finalidad distinta a la indicada, los comunique o los utilice incumpliendo las estipulaciones del contrato "...será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente". El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento que incumpla lo estipulado se le atribuya "también" la consideración de responsable del tratamiento. En el mismo sentido se pronuncia nuestra Sentencia de 14 de marzo de 2007 -recurso nº. 280/2005 –“. La presunción de inocencia recogida en el art. 24.2 CE y 137.1 Ley 30/92, 26 de noviembre, y que la doctrina del Tribunal Constitucional ha considerado aplicable al derecho administrativo sancionador (SSTC 13/1981, 76/1990) implica que la carga de la prueba de los hechos constitutivos de la infracción recaiga sobre la Administración – SSTC 76/1990, 120/1994, 154/1994, 23/1995, 97/1995 y 45/19997—. En el presente caso, la Entidad PARTEC no aporta ningún medio de prueba admisible en derecho—ex art. 80 Ley 30/92—que permita desvirtuar que contaba con el consentimiento inequívoco del denunciante a la hora de darle de alta en los servicios de suministro de gas natural, electricidad y servicios ofertado por la Entidad—Galp Energía--. En este sentido, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2011 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia Española de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D…(nombre, apellidos, domicilio), y a la recurrente le incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir,…debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales , o justificar que en el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por tanto, la vulneración del art. 6.1 LOPD por parte de PARTEC se deriva de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 falta de consentimiento del denunciante para tratar los datos personales y no acreditar la existencia de consentimiento voluntario e inequívoco a la hora de cambiar de Entidad suministradora de gas, electricidad y servicio de mantenimiento. Cabe recordar, en este sentido, que el titular de los datos es el que tiene el poder de disposición de los mismos—principio del consentimiento—y, asimismo, en esta materia debe operar el derecho a la información en el momento de la recogida de sus datos, siendo también responsable en este caso la Entidad --PARTEC—encargada del tratamiento—de informar al afectado/s a qué usos van a ser sometidos los mismos. Por tanto, la actuación de la Entidad denunciada—Partec—fue manifiestamente negligente pues no desarrollo ninguna medida tendente a constatar que contaba con el consentimiento del afectado, como debería haber realizado una Entidad con el objeto social que desarrollaba (estándar de diligencia objetivo mínimo requerid para una Entidad del Sector). La actuación de los “comerciales” entra dentro de lo que podríamos considerar con “matices” una responsabilidad in vigilando puesto que como encargado del tratamiento debía verificar que la documentación que se le presentaba por los “comerciales” con los que mantenía una relación contractual era conforme a la LOPD: esto es, que contaba con el consentimiento informado del afectado. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo). “…que los administradores incumplieron las obligaciones que se derivan de la LSA (…) no actuando con la diligencia exigible a un ordenado comerciante…no debió aceptar el cargo para el que se le nombraba, o bien renunciar al mismo por falta de contenido material, pues la Legislación es clara sobre las obligaciones que pesan sobre los administradores, las cuales no desaparecen aunque sean otras personas la que llevan la efectiva gestión de la Empresa” –STSJ Asturias 24/05/2006--. Por todo lo expuesto, se consideró que la Entidad recurrente— PARTEC- había incurrido en la infracción descrita, ya que quedó acreditado la vulneración del citado principio, consagrado en el artículo 6.1 de la LOPD, por tratar los datos de la afectada sin su consentimiento, que encuentran su tipificación en el artículo 44.3b) de la citada Ley Orgánica. V El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. En cuanto a la Entidad denunciada—Partec—“encargada del tratamiento” (art. 3
- g)LOPD) ha quedado acreditado durante la instrucción del presente procedimiento, que la misma a través de un comercial “encargado de concluir las operaciones especificadas por la empresa, por cuenta ajena” procedió a dar de alta un contrato de suministro de gas, electricidad y mantenimiento de servicios, sin contar con el consentimiento inequívoco del mismo. No cabe duda que el comercial tiene una serie de obligaciones contractuales “El agente solicitará siempre la confirmación de venta al Cliente con el fin de verificar que ha entendido perfectamente los productos/servicios contratados, así como, el coste o repercusión económica de los mismos”. Por tanto, nos encontramos, con una serie de relaciones contractuales: Galp-Partec y, a su vez, Partec-Comercial teniendo todos que cumplir fielmente con la normativa vigente en materia de protección de datos, a la hora de comprobar y constatar que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 cuenta con el consentimiento inequívoco del titular de los datos, con un mayor responsabilidad que duda cabe de las dos Entidades denunciadas en su condición de: responsable del fichero y encargada del tratamiento. Así pues, independientemente de los términos de los contratos suscritos entre sí por las dos empresas afectadas, lo que debe concluirse es que cuando cualquier de ellas lleva a cabo el tratamiento de los datos personales debe garantizar el cumplimiento de las exigencias de consentimiento En el presente caso, el contrato no ha sido firmado por el titular de los datos, no se aporta copia del DNI o documento de naturaleza similar, no se realiza actividad de comprobación alguna, ni por la Entidad responsable del fichero—Galp--, ni por la entidad encargada del tratamiento—Partec— y el nº de cuenta corriente aportado no está vinculado al afectado. Las obligaciones de la Entidad encargada del tratamiento—Partec—estan claramente delimitadas en el Acuerdo entre Galp-Partec de fecha 15/02/12, que procedemos a reproducir: “cumplir todas las obligaciones previstas en la Legislación aplicable y, en particular deberá cumplir con las obligaciones previstas en la Legislación vigente sobre protección de Datos de carácter personal (…)”. La actuación de los “comerciales” entra dentro de lo que podríamos considerar con “matices” una responsabilidad in vigilando puesto que como encargado del tratamiento debía verificar que la documentación que se le presentaba por los “comerciales” era conforme a la LOPD: esto es, que contaba con el consentimiento informado del afectado. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo). Por tanto queda acreditado probado que la Entidad-Partec—ha tratado datos de carácter personal sin el consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energia. A tenor de lo expuesto, queda acreditada indubitadamente la comisión de la infracción descrita en el art. 44.3
- b)LOPD por parte de la Entidad—Partec Representaciones S.L--. Recuérdese que las sanciones administrativas son imputables no sólo a título de dolo o culpa sino incluso de “mera inobservancia” –art. 131 Ley 30/92 RJ-PAC—y, por tanto, la Empresa Partec Representaciones S.L, no ha podido probar la obtención del consentimiento del afectado, por lo que debe considerarse vulnerado el principio del consentimiento regulado en el art. 6.1 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. El art. 45.5 LOPD establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos (…)”. En concreto, se tiene en cuenta la aplicación del art. 45.5 letra
- a)de la LOPD “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer a la Entidad—Partec—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto: La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal.—45-4
- c)LOPD--. El volumen de negocios o actividad del infractor.—45.4
- d)LOPD--. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.—45.4
- h)LOPD--. En el caso de la Entidad denunciada—Partec—la misma ostenta desde el punto de vista de su naturaleza jurídica, la condición de “encargado del tratamiento” (art. 3
- g)LOPD; está ha realizado una actividad de mero transmisor de la documentación obtenida de los “comerciales” con los datos de carácter personal del afectado/s; el volumen de negocio de la misma es considerablemente inferior a la Entidad— responsable del fichero—(Galp): 3.006€ de capital social desembolsado; dispone de una menor práctica y conocimiento en la materia de protección de Datos que una gran compañía habituada al tráfico jurídico con datos personales. Por todo ello se acuerda confirmar la sanción impuesta a la Entidad recurrente— Partec—que se cifra en la cuantía de 3.000€., sanción que por su cuantía se establece dentro de la escala de las infracciones leves. En base a lo expuesto, se procede a desestimar el presente Recurso de reposición. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad --PARTEC Representaciones S.L-- contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 19 de diciembre de 2013, en el procedimiento sancionador PS/00380/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 SEGUNDO: NOTIFICAR Representaciones S.L. la presente resolución a la entidad PARTEC De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es