REPOSICION-PS-00442-2013

1/12 Procedimiento nº.: PS/00442/2013 ASUNTO: Recurso de Reposición Nº RR/00318/2014 Examinado el recurso de reposición interpuesto por la entidad PARTEC Representaciones, S.L. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00442/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 27 de febrero de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00442/2013 , en virtud de la cual se imponía a la entidad Partec Representaciones, S.L., una sanción de 3.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3 b), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 18/03/2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00442/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 23/10/12 se recibe en esta AEPD reclamación del afectado en dónde pone de manifiesto que: “…me ha dado de alta en un servicio de gas sin yo firmar ningún contrato y sin consentimiento para ello…”—folio nº 3---. Aporta fotocopia en vigor de su DNI con la firma visible del afectado—folio nº 1--. Segundo. Queda acreditado que en los sistemas de información de la Entidad denunciada—Galp—existe un contrato asociado al denunciante, en el que se plasma en la firma: P.O y una firma, sin identificar. Los campos del contrato relativos a cualquier tipo de autorización, que deberían estar debidamente cumplimentados están en blanco, esto es, sin rellenar: Actúa en nombre y representación, Nombre y apellidos y Mayor de edad con DNI.—folio nº 45 y 46--. Queda acreditado que de la mera comparación ocular de la firma del afectado plasmada en su DNI (folio nº 1 y 2) y la que se recoge en el contrato (folios nº 45 y 46) aportado por la Entidad denunciada—Galp—las mismas no son coincidentes sin género de dudas. Tras las comprobaciones oportunas el nº de teléfono móvil –***TEL.1— que está plasmado en el contrato no está vinculado al denunciante. Tercero. Queda acreditado que en los sistemas de información de la Entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 denunciada—Galp—asociados al denunciante constan los servicios: Gas, Confortgas y ConfortHogar.  Gas: fecha de alta 03/05/12 y se dio de baja el 03712/12 por cambio de comercializadora.  ConfortGas: fecha de alta 12/03/12 y fecha de baja el 11/03/13.  ConfortHogar: fecha de alta el 12/03/12 y se dio de baja el 11/03/13. Cuarto. Queda acreditado que en los sistemas de información de Galp se recogen las reclamaciones del afectado manifestando que no ha contratado servicio alguno con la misma. “el cliente no ha contratado nada con Galp energía…”fecha 18/04/12—folio nº 54--. “…ya que en ningún momento dio su consentimiento al alta en nuestra compañía. Además, los datos del nombre y apellidos que aparecen no se corresponden con su DNI…”fecha 01/10/12—folio nº 54--. Quinto. La Entidad denunciada—Galp—ha procedido a tratar los datos del afectado mediante la emisión de facturas, que contienen sus datos de carácter personal.  Nº de Factura: ***FACTURA.1. Fecha de emisión: 14/03/12. Total importe: 14,09€.—folio nº 59--.  Nº de Factura: ***FACTURA.2. Fecha de emisión: 13/04/12. Total importe: 13,06€.—folio nº 60--.  Nº de Factura: ***FACTURA.3. Fecha de emisión: 03/07/12. Total importe: 39,78€. --folios n 61 y 62--. Sexto. Existe entre las partes denunciadas—Galp y Partec-- un acuerdo de prestación de servicios de Fuerza de ventas de febrero del año 2012. El comercial interviniente en esta reclamación es Dña. A.A.A., con DNI ***DNI.1, que es quien por encargo de la Empresa--Partec—relación de naturaleza mercantil es el encargado de “concluir las operaciones especificadas por la Empresa, por cuenta ajena”. Séptimo. El conjunto de obligaciones asumidas por D. B.B.B.en nombre y representación de la Entidad---Partec Representaciones S.L—quedan plasmadas en el documento contractual de fecha 15/02/12. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. “Los datos de carácter personal a los que se refiere la clausula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Octavo. Queda acreditado que el número de cuenta vinculado al denunciante y que está plasmado en el contrato, no se asocia al mismo según prueba/s aportadas por la Entidad financiera—Bankia--. “dicho número de cuenta es erróneo, nuestro sistema no lo detecta como número de cuenta correcto”.—folio nº 190--. TERCERO: La Entidad sancionada PARTEC Representaciones, S.L. ha presentado en fecha 16/04/2014, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: De los hechos que motivan este expediente. Con la documentación aportada por Galp en el expediente, se ponen de relieve numerosas irregularidades cometidas por el responsable del fichero durante el proceso de gestión de datos. Puntualizar que aunque el cliente dice no se corresponde con su nombre y DNI, la realidad es que lo único que difiere es el primer apellido que el comercial inscribió Ricos en lugar de Ríos, el resto de los datos son correctos. Es decir, un tercero bajo su responsabilidad (el contrato está firmado bajo la referencia P.O) tiene que haber facilitado su número de cuenta bancaria, dado que de otra manera no sería necesario que el devolviera los recibos (…). La suma de todos estos factores da como resultado la reclamación del cliente, descontento con la atención recibida, con las facturas y, por consiguiente, la negación de haber firmado nada con Galp (algo cierto pues es una firma por Orden) y la manifestación de no querer saber nada de esta compañía. Del proceso de contratación y su entrega a Galp/Unísono. Los contratos que llega a la oficina son revisados por empleados de Partec que trabajan como administrativos y una de sus funciones era la de revisar los contratos y su documentación anexa, es decir, las copias de las facturas de energía con la compañía actual del cliente y en ocasiones la copia del DNI del titular o su representante. Partec nunca tuvo acceso al sistema SAP de Galp como tampoco nunca tuvo trato directo con el cliente ya que la recogida de datos estaba subcontratada con un tercero, comercial/es autónomos, expresamente autorizados por Galp, como ya hemos acreditado ante la AEPD. La firma que aparece reflejada en el contrato viene acompañada de las siglas P.O. Hasta finales de mayo de 2012, Galp daba instrucciones para la contratación dónde se permitía que firmaran familiares, inquilinos o personas que vivieran en el domicilio. Este contrato cumplía con todas las exigencias y criterios dadas por Galp a sus proveedores. De la falta de responsabilidad de Partec. Partec cumplía y seguía los criterios que su cliente, Galp, le exigía y que ahora sabemos que era directrices erróneas, que entre otras contravenían la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 La responsabilidad de Partec finaliza con la entrega de los contratos a las empresas grabadoras, que a su vez eran los que debían validar los contratos. Por todo lo comentado, consideramos que Partec realizó con diligencia y buena fe su trabajo, con los límites que tenía (no tenía acceso a SAP), siguiendo siempre las Instrucciones de Galp y creedores de que se realizaba la verificación del contrato con los clientes de Galp/Unísono, no consideramos que hubiera tenido que tomar más medidas de comprobación. La conclusión de Partec es que si Galp hubiera procedido a:  Dar indicaciones correctas a las empresa que comercializaban Galp y que no contravienen la LOPD, directrices cómo que el firmante debe ser el titular (…).  Hacer la grabación de la llamada de verificación con el cliente.  Rápida reacción ante las reclamaciones y comunicaciones a la Empresa que hubiera procedido a la contratación. Para Partec el único responsable de las irregularidades en el proceso del tratamiento de los datos es únicamente: Galp. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso se procede a examinar la reclamación de fecha 23/10/12 en la que el afectado denuncia de manera sucinta que: “…me ha dado de alta en un servicio de gas sin yo firmar ningún contrato y sin consentimiento para ello…”—folio nº 1---. La única prueba objetiva aportada por la Entidad denunciada—Galp—en el presente caso, es la copia de “contrato” con presunta rúbrica del denunciante.—folios nº 45 y 46--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 En fase de instrucción—ex art. 78 Ley 30/92—se procede a cotejar la firma que consta en el DNI del afectado—folio nº 1—y la que está plasmada en el “presunto” contrato aportado por la Entidad—Galp--: de la mera comparación de éstas, se llega a la conclusión de que no son idénticas. A mayor abundamiento, el contrato contiene las siglas P.O (*entendemos que Por Orden) si bien los campos específicos del contrato relativos a cualquier tipo de autorización, que deberían estar debidamente cumplimentados están en blanco, esto es, sin rellenar: Actúa en nombre y representación, Nombre y apellidos y Mayor de edad con DNI.—folio nº 45 y 46--. Esta Agencia tiene establecido como criterio en la materia que nos ocupa, que la mera existencia de un contrato firmado no garantizaba plenamente la protección de los datos de carácter personal de los titulares de los mismos; por lo que en aras de una mayor protección y garantía del “consentimiento inequívoco” se requiere la aportación junto con el contrato, de la existencia de fotocopia del D.N.I o documento de naturaleza similar, como diligencia mínima a desplegar por cualquier Entidad a la hora de asegurar la contratación de cualquier servicio. A mayor abundamiento, dicho D.N.I o documento de naturaleza similar deberá ser el del titular de los datos, deberá estar vigente (según fecha impresa en el mismo) en el momento de la contratación del servicio, deberá constar anverso/reverso del mismo y la fotocopia deberá ser nítida, sin manipulación o tachaduras en los datos o en la fotografía del afectado/a. En apoyo de lo argumentado, baste citar los siguientes pronunciamientos de la Audiencia Nacional: - Así la SAN 10/06/2011 en dónde se establece “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permita comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más, la firma de contrato se corresponde con el inquilino de la vivienda”. - También en idénticos términos, la SAN 08/07/12 “No es obligatoria copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, como ya señalamos en la SAN de 27 de abril 2006 (Rec. 54/2005) deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la Entidad recurrente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 - La SAN 13/05/11 esgrime lo siguiente “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de Servcios SA no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos era efectivamente la citada persona y que la misma consintió tal contratación”. IV La Entidad denunciada—Partec Representaciones S.L—la misma según se desprende de la documentación aportada “es un prestador de servicio de fuerza de ventas de Galp Energía España S.A.U”. Dentro del marco de la Legislación vigente en materia de protección de datos ocuparía la figura de “encargado del tratamiento”. El art. 3 letra

1. g)LOPD—LO 15/99—define la figura del encargado del tratamiento de la siguiente manera: “la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. En el caso que nos ocupa, la Entidad Partec a su vez encargo la realización y toma de los datos a un agente comercial: Dña. A.A.A., siendo la relación entre ambos de carácter mercantil. “El agente se obliga a actuar lealmente y de buena fe velando por los intereses de Partec Representaciones S.L por cuya cuenta actúa, en el ejercicio de la actividad encomendada”. Las principales atribuciones de la Entidad PARTEC, quedan plasmadas en las cláusulas del contrato firmado con la Entidad—Galp Energía—(vgr. aportado en el PS/00183/2013). A saber: “Se compromete a cumplir y a hacer que los terceros bajo su responsabilidad cumplan, en todas sus relaciones con los potenciales o ya clientes de Galp Energía, con el Código del Grupo Galp Energía adjunto al presente como Anexo II o las actualizaciones al mismo…haciéndose responsable de los daños y perjuicios que el incumplimiento del contenido mismo, por si mismo o por las personas a su cargo, puedan ocasionar a Galp Energía”. “El PROVEEDOR realizará el tratamiento necesario para la prestación de los Servicios conforme a las obligaciones que se deriven de la LOPD, entre otras la obligación de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al PROVEEDOR”. “Los datos de carácter personal a los que se refiere la cláusula anterior serán incluidos en ficheros de titularidad de Galp Energía, previa información y consentimiento de los interesados, en el caso en que se conviertan en clientes de ésta”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los datos y para evitar su alteración, pérdida, tratamiento o acceso no autorizado”. La Entidad denunciada—Partec—no está en disposición de aportar copia del DNI o documento de naturaleza similar que acredite de forma fehaciente que contaba con el consentimiento inequívoco e informado del titular de los datos. A mayor abundamiento, por parte de la Entidad denunciada—Partec-- no se procede a explicar “cuáles son las funciones de comprobación de la documentación” aportada por el comercial, sin que conste acreditado que hubieran adoptado medida alguna para tratar de verificar la identidad y autenticidad de los datos personales plasmados en el “presunto” contrato. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo) sin que corresponda a esta Agencia el análisis de su relación con el comercial correspondiente. “…que los administradores incumplieron las obligaciones que se derivan de la LSA (…) no actuando con la diligencia exigible a un ordenado comerciante…no debió aceptar el cargo para el que se le nombraba, o bien renunciar al mismo por falta de contenido material, pues la Legislación es clara sobre las obligaciones que pesan sobre los administradores, las cuales no desaparecen aunque sean otras personas la que llevan la efectiva gestión de la Empresa” –STSJ Asturias 24/05/2006--. Por tanto queda acreditado que la Entidad-Partec—ha tratado datos de carácter personal sin diligencia en la obtención del consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energía o la posible repercusión a los “comerciales” bajo su dirección organizativa. Adicionalmente, cabe reseñar que la Entidad denunciada –Partec Representaciones S.L —era una empresa (Task Force) cuya principal finalidad era la “captación de nuevos clientes”, para lo cual contaba con una organización jurídicamente creada y a su vez, encargaba la realización de las contrataciones a distintos “comerciales” bajo su supervisión obteniendo con ello una comisión; por todo ello le es exigible una mínima observancia de la normativa vigente en materia de protección de Datos. A tal efecto, la SAN 06/10/11 (Rec nº 342/2010) dictamina que: “Obviamente, la sanción a la empresa recurrente es independiente de la que hubiera podido imponerse a la empresa comercializadora y lo acertado de la sanción impuesta no puede verse empañado por la incoación ó no del expediente sancionador frente a Avanza y ello pues, además, a esta Sala no le consta si se ha seguido ó no expediente sancionador contra esta empresa”. También en el mismo sentido, se trae a colación el siguiente pronunciamiento de la Audiencia Nacional—SAN 02/12/10 (Rec. Nº 670/2009), ante la reiteración en las alegaciones de la Entidad denunciada—Partec—de su total falta de responsabilidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 administrativa en la cuestión objeto del presente procedimiento. “Por tanto, el hecho de que la responsable del tratamiento y del fichero sea Endesa Energía y en esa condición tenga la obligación de asegurarse que contaba con el consentimiento de la denunciante para tratar sus datos de carácter personal, no exime a la recurrente como encargada de la captación de nuevos clientes del servicio de suministro eléctrico y de la formalización de la solicitud de suministro de gas natural facilitada por Endesa, de la obligación de realizar un mínimo trabajo de supervisión que, como señala la AEPD, permita detectar y controlar la regularidad de la recogida de datos por parte de sus agentes. Se trata de responsabilidades (la de Endesa Energía e Intecas) no excluyentes sino plenamente compatibles, conforme viene reiterando esta Sala en supuestos similares”. En interpretación del art. 6.1 LOPD, la Audiencia Nacional ha venido manteniendo de forma reiterada, entre otras en su sentencia de 24-6-2010 (Rec. 619/2009), que los requisitos del consentimiento se agotan en la necesidad de que este sea "inequívoco", es decir, que no exista duda alguna sobre la prestación del mismo. El citado artículo 6.1 de la LOPD no exige que el consentimiento revista una forma determinada pero sí que no admita duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento de inequívoco. Por todo ello, se considera que ha infringido el contenido del art. 6.1 LOPD y no puede esgrimir un desconocimiento de la normativa vigente en materia de protección de datos. V En el conjunto de alegaciones plasmadas en el escrito de Recurso las mismas se centran exclusivamente en las “irregularidades” cometidas por la Entidad responsable del fichero: Galp. “…el propios sistema SAP de Galp mantenía contratos pendientes de activación incluso hasta un año”. “que podían firmar familiares, inquilinos o terceras personas que vivieran en el domicilio”. “Si hubiéramos sabido que un contrato debe ir acompañado de la copia del DNI del titular de los datos lo hubiéramos aportado siempre (…)”. El art. 6.1 CC—Código Civil—dispone de manera expresa que: “La ignorancia de las Leyes no exime de su cumplimiento”. Ya ha quedado expuesta, la condición de “encargada del tratamiento”- art. 3 letra
2. g)LOPD—de la Entidad Partec siendo su objeto social “promoción comercial y fuerza de venta de los productos y servicios ofrecidos por Galp Energía”—folio nº 198—así como, la asunción de obligaciones en el marco de la Legislación vigente en materia de protección de Datos de carácter personal, comprometiéndose a dedicar los recursos humanos y materiales necesarios para el óptimos desarrollo de sus tareas (vgr. podría haber solicitado consulta a una Asesoría en materia de LOPD o haber presentado consulta de carácter gratuito ante la propia AEPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 El contrato presentado—como única prueba documental—(folios nº 45 y 46) está a nombre de D. C.C.C., cuando el denunciante, titular de los datos, se llama D. D.D.D.; el mismo no está firmado por el afectado como queda acreditado con la rúbrica a pie de página P.O; los datos del solicitante están en blanco, esto es, no han sido debidamente cumplimentados; el número de teléfono que consta en el contrato no está asociado al denunciante; y los datos para la domiciliación bancaria de pago son incorrectos según la documentación probatoria aportada. Por tanto, difícilmente se puede hablar de un contrato “debidamente verificado” por la Entidad recurrente; el hecho de que en el contrato permanezcan en blanco los datos del solicitante, hubieran tenido que dar lugar a una constatación de los mismos y exigencia en legal forma. Resulta palmario, que las instrucciones de Galp indicando que la contratación la podían llevar a cabo familiares o inquilinos, viene matizada por que ésta se realizara en legal forma: acompañando de la preceptiva documentación de la persona autorizante y autorizada; cosas que no ha ocurrido en el caso que nos ocupa. Cabe recordar que la Entidad responsable del fichero—Galp—también ha sido sancionada en este caso con una sanción de importe mayor al de la Entidad recurrente: 50.000€, teniendo en cuenta las “irregularidades” cometidas, algunas de las cuales son reproducidas por Partec. La actuación de los “comerciales” entra dentro de lo que podríamos considerar con “matices” una responsabilidad in vigilando puesto que como encargado del tratamiento debía verificar que la documentación que se le presentaba por los “comerciales” era conforme a la LOPD: esto es, que contaba con el consentimiento informado del afectado. La Entidad denunciada—Partec-- tenía que haber adoptado una serie de “medidas” en materia de LOPD: acordes al objeto social de la misma, el tamaño y negocio de la misma (estándar de diligencia objetivo mínimo). Por tanto queda acreditado probado que la Entidad-Partec—ha tratado datos de carácter personal sin el consentimiento del titular de los mismos, y a ella incumbía recabar el mismo y poder acreditar que contaba con él, con independencia de las responsabilidades en que haya podido incurrir Galp Energia. A tenor de lo expuesto, queda acreditada indubitadamente la comisión de la infracción descrita en el art. 44.3
3. b)LOPD por parte de la Entidad—Partec Representaciones S.L--. Recuérdese que las sanciones administrativas son imputables no sólo a título de dolo o culpa sino incluso de “mera inobservancia” –art. 131 Ley 30/92 RJ-PAC—y, por tanto, la Empresa Partec Representaciones S.L, no ha podido probar la obtención del consentimiento del afectado, por lo que debe considerarse vulnerado el principio del consentimiento regulado en el art. 6.1 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 El art. 45.5 LOPD establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos (…)”. En concreto, se tiene en cuenta la aplicación del art. 45.5 letra
4. a)de la LOPD “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A la hora de motivar la sanción a imponer a la Entidad—Partec—nos servimos de los criterios establecidos en el art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal.—45-4
5. c)LOPD--.  El volumen de negocios o actividad del infractor.—45.4
6. d)LOPD--.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.—45.4
7. h)LOPD--. En el presente caso, la Entidad denunciada—Partec—tenía como objeto social “la comercialización de productos y servicios por cuenta de terceros” para lo que necesitaba obtener los datos de los potenciales clientes; siendo los daños y perjuicios al denunciante “evidentes” en cuanto al tiempo de reclamaciones, como los perjuicios por alta de productos sin su consentimiento. La Entidad denunciada—Partec—ostenta desde el punto de vista de su naturaleza jurídica, la condición de “encargado del tratamiento” (art. 3
8. g)LOPD; está ha realizado una actividad de mero transmisor de la documentación obtenida de los “comerciales” con los datos de carácter personal del afectado/s; el volumen de negocio de la misma es considerablemente inferior a la Entidad—responsable del fichero—(Galp): 3.006€ de capital social desembolsado según consta en el Registro Mercantil; dispone de una menor práctica y conocimiento en la materia de protección de Datos que una gran compañía habituada al tráfico jurídico con datos personales y no ha tratado los datos de los afectados. Por lo tanto, en el presente recurso de reposición, la Entidad PARTEC Representaciones, S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, siendo acertada la sanción impuesta, dentro de la escala de las infracciones leves, motivada en Derecho; por lo que se procede a desestimar el recurso interpuesto. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad PARTEC Representaciones, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de febrero de 2014, en el procedimiento sancionador PS/00442/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 SEGUNDO: NOTIFICAR Representaciones, S.L.. la presente resolución a la entidad PARTEC De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es