1/12 Procedimiento nº.: PS/00441/2013 ASUNTO: Recurso de Reposición Nº RR/00308/2014 Examinado el recurso de reposición interpuesto por la entidad PARTEC REPRESENTACIONES, S.L contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00441/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 18 de febrero de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00441/2013 , en virtud de la cual se imponía a la entidad PARTEC REPRESENTACIONES, S.L, una sanción de 3.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3
- b), de conformidad con lo establecido en el artículo 45.2,4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en legal forma, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00441/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 19/10/12 se recibe en esta AEPD reclamación de la epigrafiada en dónde pone de manifiesto que: “Apropiación sin mi consentimiento de mi contrato de gas, falsificando la firma (…)” –folio nº 1--. Segundo. Queda acreditado de la mera comparación entre la firma que consta en el DNI aportado por la denunciante en su reclamación ante la AEPD (folio nº 2 y 3) que la misma no coincide con la plasmada/s en el contrato aportado por la Entidad denunciada—Galp—(folio nº 7 y 8). Tercero. En los sistemas de información de la Entidad denunciada—Galp— constan los datos de carácter personal de la afectada, vinculados a los servicios: Gas, ConfortHogar (Servicios) dentro de lo que se denomina “Plan Bienestar Plus” (folios nº 66 y 67). Cuarto. Queda acreditado que la Entidad denunciada—Galp—ha tratado los datos de carácter personal de la afectada mediante la emisión de facturas asociado a sus datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Nº de factura: GE ***FACTURA.1. Fecha de emisión: 23/05/12. Total importe: 9,41€. Nº de factura: GE ***FACTURA.2. Fecha de emisión: 19/07/12. Total importe: 34,95€. Nº de factura: GE ***FACTURA.3. Fecha de emisión: 18/11/12. Total importe: 28,16€. –folio nº 92 y 93--. Nº de factura: GE ***FACTURA.4. Fecha de emisión: 31/01/13. Total importe: 6,93€.—folios nº 94--. Nº de factura: GE ***FACTURA.5. Fecha de emisión: 01/02/13. Total importe: 13,85€.—folio nº 95--. Nº de factura: GE ***FACTURA.6. Fecha de emisión: 02/02/13. Total importe: 14,21€. Quinto. En los sistemas de información de la Entidad denunciada—Galp—constan las siguientes reclamaciones de la afectada: “Cliente niega haber contratado el servicio de ConfortHogar Básico” Fecha 29/05/12. –folio nº 75--. “Ella ha reclamado porque no ha contratado con Galp”. Fecha 29/05/12— folio nº 76--. “Cliente niega haber contratado el servicio ConfortHogar básico. Solicita la baja inmediata del mismo”. Fecha 17/05/12—folio nº 77--. Sexto. Queda acreditado que la Entidad que procedió a recabar los datos de la afectada es la Entidad--Partec Representaciones S.L -- a través del “comercial”: D. A.A.A.. Queda acreditado la siguiente clausula contractual en el contrato formalizado por D. B.B.B. actuando en nombre y representación de Partec: “Las obligaciones establecidas para el Proveedor en la presente clausula serán también exigibles a sus empleados, colaboradores, tanto externos como internos y subcontratistas…” (folio nº 195). La misma no aporta copia del DNI o documento de naturaleza similar del titular de los datos de carácter personal. Tampoco ha realizado actividad de comprobación o verificación de contar con el consentimiento inequívoco de la afectada. Séptimo. Existe entre las partes denunciadas—Galp y Partec-- un acuerdo de prestación de servicios de Fuerza de ventas de febrero del año 2012. “El Proveedor (Partec) deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo, y en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente en materia de protección de datos de carácter personal y sobre protección de los consumidores y usuarios” (folio nº 194). “El Proveedor realizará el tratamiento necesario para la prestación de los servicios conforme a las obligaciones que se derivan de la LOPD, entre otras, las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 obligaciones de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al Proveedor”. (folio nº 195). “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los Datos (….) —folio n º 195--. TERCERO: La Entidad sancionada PARTEC REPRESENTACIONES, S.L ha presentado en fecha 10/04/2014, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en el que de manera sucinta manifiesta lo siguiente: De la obtención del consentimiento de la denunciante. La reclamante manifiesta que alguien tomo sus datos y que alguno/s de ellos son erróneos. En concreto la reclamante habla de su firma, de su número de teléfono y de su número de cuenta bancaria. Además en el folio nº 76 consta una solicitud de copia de factura y la solicitud de cambio de domicilio postal, factura que según deducimos la reclamante ha pagado en el mes de julio, según consta en el folio nº 27. Entendemos que la reclamante realiza, todas estas actuaciones, una convalidación de las actuaciones anteriores, por lo que da su consentimiento al proporcionar sus datos personales. Del sistema de facturación de Galp y la consiguiente reclamación del cliente. Nos hacemos eco de los problemas de la compañía Galp ha tenido en la facturación, el servicio de atención al cliente y el no realizar las verificaciones de los clientes en las contrataciones, etc, porque Partec se está viendo afectado de manera directa por la mala gestión de Galp. Si Galp, la empresa madre, responsable de incluir los datos en los ficheros, emitir facturas y atender al cliente/s no funcionaba en ninguno de sus Departamentos, lógicamente, las empresas que cuelgan por debajo de ella se ven repercutidas, como es el caso de Partec con la AEPD. Sólo con que Galp hubiera realizado las llamadas de verificación al cliente, todo esto no tendría por qué estar pasando. De cómo se celebró el contrato entre Galp y Partec. El Instructor en la resolución que nos ocupa—folio nº 7—suscribe una de las obligaciones de Partec contenidas en el Acuerdo con Galp. El deber de información se derivó en la figura del “comercial”, que era quien recababa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 directamente los datos de los potenciales clientes en el sistema de puerta fría. Partec ha sido conocedor de las numerosas irregularidades cometidas por Galp a través de los expedientes abiertos con la AEPD. Entre ellas, que no es hasta que interviene la AEPD y a instancias de ellas, que Galp resuelve firmar un contrato de colaboración la Task-forces, que hasta el 15/02/12 no se celebró. Partec ha trabajado estrechamente con Unísono, nuestras conclusiones son que Galp, en un primer intento quiere ocultar la existencia de Unísono por no tener un contrato firmado con ella. Galp afirma lo que le interesa y oculta también lo que le conviene. De la imposibilidad de aportación del DNI del reclamante. Partec tenía orden de entregar toda la documentación recabada por el “comercial” junto con el contrato firmado por el cliente a la Entidad-Unísono—que se encargaba de validar o no los contratos entregados por Partec. Lo que esta parte no acierta a entender es por qué motivo no se requiere la aportación de esta documentación a la mercantil Unísono Soluciones de Negocio, S.A que está en disposición de aportar otro tipo de evidencias acreditativas del consentimiento inequívoco que se requiere como parte de las actuaciones de verificación que estaba obligado a realizar como parte del proceso de grabación de datos de las nuevas altas en el sistema SAP de Galp. Por todo lo expuesto, solita de la AEPD que tenga por interpuesto el presente Recurso de Reposición en la que se deniegan las medidas probatorias solicitadas por esta pare y, realizados los trámites oportunos, lo admita, ordenando las medidas probatorias solicitadas a sus efectos. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 En el presente caso, se procede a analizar la reclamación de fecha 19/10/12 de entrada en esta AEPD en la que la epigrafiada manifiesta de manera sucinta que: “Apropiación sin mi consentimiento de mi contrato de gas, falsificando firma, teléfono y cuenta bancaria (…)”.—folio nº 1--. La Entidad denunciada—Galp—en fecha 05/04/13 a requerimiento de esta AEPD aporta copia del “presunto” contrato firmado por la afectada, que sería lo que legitimaría el tratamiento de sus datos de carácter personal. En fase de instrucción—ex art. 78 Ley 30/92—se procede a cotejar las firmas: la existente en la documentación aportada por la afectada ante la AEPD y la que consta en el contrato aportado por la Entidad—Galp Energía: las mismas sin género de duda no coinciden, esto es, de una mera comparación ocular las mismas son totalmente diferentes. La Entidad denunciada—Partec Representaciones S.L—la misma según se desprende de la documentación aportada “es un prestador de servicio de fuerza de ventas de Galp Energía España S.A.U”. Dentro del marco de la Legislación vigente en materia de protección de datos ocuparía la figura de “encargado del tratamiento”. El art. 3 letra
- g)LOPD—LO 15/99—define la figura del encargado del tratamiento de la siguiente manera: “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el caso que nos ocupa, la Entidad Partec a su vez encargo la realización y toma de los datos a un agente comercial: D. A.A.A., siendo la relación entre ambos de carácter mercantil (relación entre dos Empresarios independientes). “El agente se obliga a actuar lealmente y de buena fe velando por los intereses de Partec Representaciones S.L por cuya cuenta actúa, en el ejercicio de la actividad encomendada”. Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía—(vgr. aportado en el PS/00183/2013 e incorporadas al presente Expediente). A saber: “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado”. La Entidad denunciada—Partec—no está en disposición de aportar copia del DNI o documento de naturaleza similar que acredite de forma fehaciente que contaba con el consentimiento inequívoco e informado del titular de los datos. La Entidad denunciada—Partec—no está en disposición de acreditar que su actividad se realizase conforme a los principios inspiradores de la LOPD: esto es, no realizó actividad alguna de verificación en la documentación que se le aportaba por los “comerciales”. En interpretación del art. 6.1 LOPD, la Audiencia Nacional ha venido manteniendo de forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento de inequívoco. Dicha infracción se puede cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente. Por parte, de la Entidad denunciada—Partec—no se realizó actividad alguna de comprobación en la documentación aportada por el comercial/es bajo su dirección: esto es, con la simple firma de un documento se consideraba “correcta” y “legal” la actuación del comercial y el mismo (*documento contractual) se enviaba a la Entidad responsable del fichero: cobrando por ello la correspondiente comisión. No justifica conforme a Derecho, la representación legal de la Entidad Partec las obligaciones en materia de LOPD que correspondían a su representado en el asunto que nos ocupa; al parecer se vino a constituir una Entidad con la única finalidad de entregar documentos contractuales firmados, sin importar, quien fuera el firmante y obteniendo con ello una remuneración económica. Las cláusulas contractuales firmadas por D. B.B.B. en nombre y representación de Partec: “obligación de obtener el consentimiento del afectado al tratamiento de los datos personales” al parecer son un mero espejismo jurídico, vacío de cualquier contenido legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 La exigencia del elemento culpabilístico también en el responsable subsidiario se recoge en una amplia línea jurisprudencial. “que los administradores incumplieron las obligaciones que se derivan de la LSA (…) no actuando con la diligencia exigible a un ordenado comerciante… debió no aceptar el cargo para el que se le nombraba, o bien renunciar al mismo por falta de contenido material, pues la Legislación es clara en cuanto a las obligaciones que pesan sobre los administradores, las cuales no desaparecen aunque sean otras personas las que llevan la efectiva gestión de la empresa”—STSJ Asturias 24/05/2006--. Cabe recordar, en este sentido, la interpretación que realiza la Audiencia Nacional— SAN 2172/2013 (Rec. nº 25/2010) respecto a la responsabilidad concurrente entre el responsable del fichero y el encargado del tratamiento. “A mayor abundamiento, además, y como igualmente hemos sostenido en la Sentencia de 13 de abril de 2005 (recurso nº. 241/2003 ) lo que determina la Ley Orgánica 15/1999 en el art. 12.4 que invoca la parte demandante, es que en caso de que el encargado del tratamiento destine los datos a una finalidad distinta a la indicada, los comunique o los utilice incumpliendo las estipulaciones del contrato "...será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente". El término "también" que utiliza el precepto deja claro que no se establece allí un mecanismo de sustitución ni de derivación de responsabilidades sino de agregación, pues el responsable del fichero no pierde su condición de tal ni queda exonerado de responsabilidad por el hecho de que al encargado del tratamiento que incumpla lo estipulado se le atribuya "también" la consideración de responsable del tratamiento. En el mismo sentido se pronuncia nuestra Sentencia de 14 de marzo de 2007 -recurso nº. 280/2005 –“. Por tanto queda acreditado que la Entidad denunciada—Partec—no guardo en el cumplimiento de sus obligaciones el cuidado mínimo exigible a una Entidad con el objeto social para el que fue constituido: en el marco de la LOPD (estándar de diligencia objetivo mínimo requerido-). No consta una actuación conforme a Derecho de la Entidad recurrente, que si era conocedora de los “reiterados” incumplimientos en materia de LOPD por parte de Galp, disponía de los medios para haber actuado en orden a salvaguardar sus derechos e intereses, pero nada de esto consta acreditado en el expediente. Por todo ello, se considera que ha infringido el contenido del art. 6.1 LOPD y no puede esgrimir un desconocimiento de la normativa vigente en materia de protección de datos. IV Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 V Examinadas las alegaciones de la Entidad denunciada y analizada de nuevo la documentación contenida en el Expediente, cabe señalar que el documento contractual —folio nº 66 y 67—no fue firmado por la titular de los datos de carácter personal, por lo que queda acreditada en Derecho la infracción del contenido del art. 6.1 LOPD. Las obligaciones de la entidad denunciada—Partec- en el marco de la LOPD no admiten discusión alguna ““obligación de obtener el consentimiento del afectado al tratamiento de los datos personales”. En este sentido, baste traer a colación la lectura del art. 57 del Código de Comercio de 1885 “Los contratos de comercio se ejecutarán y cumplirán de buena fe, según los términos en que fueren hechos y redactados, sin tergiversar con interpretaciones arbitrarias el sentido recto, propio y usual de las palabras dichas o escritas, ni restringir los efectos que naturalmente se deriven del modo con que los contratantes hubieren explicado su voluntad y contraído sus obligaciones”. En cuanto a la Entidad denunciada—Partec—(encargada del tratamiento), la misma procedió a efectuar la contratación del servicios/s a través de comercial, si bien no está en disposición de aportar como medio de prueba: copia del DNI o documento de naturaleza similar, que acredite que contaba con el consentimiento inequívoco de la afectada. Tampoco adoptó “medida” alguna tendente a verificar/constatar que contaba con el consentimiento del afectado en la documentación que le era aportada por el “comercial”—estándar de diligencia objetiva mínimo desplegado en el marco de la LOPD--. En consecuencia ha quedado probada la comisión de la infracción imputada que es imputable al menos a título de culpa, por falta de cuidado o diligencia a la hora de la contratación. No obstante, se tiene en cuenta la aplicación del art. 45.5 LOPD. En concreto, se procede a aplicar la letra
- a)del art. 45.5 LOPD “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer se tienen en cuenta los criterios del art. 45.4 LOPD. En el presente caso: La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.45.4
- c)LOPD. El volumen de negocio o actividad del infractor.45.4
- d)LOPD. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
- h)LOPD. En el caso de la Entidad denunciada—Partec—la misma ostenta desde el punto de vista C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 de su naturaleza jurídica, la condición de “encargado del tratamiento” (art. 3
- g)LOPD; está ha realizado una actividad de mero transmisor de la documentación obtenida de los “comerciales” con los datos de carácter personal del afectado/s; el volumen de negocio de la misma es considerablemente inferior a la Entidad—responsable del fichero— (Galp): 3.006€ de capital social desembolsado; dispone de una menor práctica y conocimiento en la materia de protección de Datos que una gran compañía habituada al tráfico jurídico con datos personales. Por todo ello se impuso a la Entidad recurrente-Partec Representaciones S.L —una sanción que se cifra en la cuantía de 3.000€., sanción que se encuadra dentro del marco de las infracciones leves. Por lo tanto, en el presente recurso de reposición, la Entidad PARTEC REPRESENTACIONES, S.L no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Cualquier “responsabilidad” del comercial entra dentro de la esfera de vigilancia de la Entidad recurrente—Partec--, tanto en los supuestos de presunta estafa—ex art. 248 y ss LO 15/99--, como en el caso de responsabilidad en la subcontratación Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad PARTEC REPRESENTACIONES, S.L contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 18 de febrero de 2014, en el procedimiento sancionador PS/00441/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad recurrente PARTEC REPRESENTACIONES, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es