← España

REPOSICION-PS-00554-2013

1/12 Procedimiento nº.: PS/00554/2013 ASUNTO: Recurso de Reposición Nº RR/00377/2014 Examinado el recurso de reposición interpuesto por la entidad GALP ENERGIA ESPAÑA, S.A.U. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00554/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 11 de abril de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00554/2013 , en virtud de la cual se imponía a la entidad GALP ENERGIA ESPAÑA, S.A.U., una sanción de 50.000€, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como infracción grave en el artículo 44.3 b), de conformidad con lo establecido en el artículo 45.2, y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 15/04/2014, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00554/2013, quedó constancia de los siguientes: procedimiento sancionador, Primero. Con fecha 30/10/13 se recibe en esta AEPD escrito de la OMIC— Villaverde—(Madrid) en dónde se pone en conocimiento de esta AEPD el hecho “de la utilización de los datos del denunciante por parte de Galp sin mediar consentimiento, siendo dado de baja en su anterior compañía (…)”.—folio nº 2--. Segundo. Queda acreditado que en los sistemas de información de la Entidad denunciada—Galp—existe un contrato, de fecha 11/01/12. –folios nº 24 y 25--. En fase de instrucción se procede a cotejar las firmas del denunciante, la que consta en su reclamación ante la OMIC (folio nº 2) y DNI (folios nº 14) y la que figura en el documento contractual y las mismas prima facie: esto es, de una mera comparación ocular no coinciden, siendo distintas en la forma y en el trazo sin lugar a dudas. Tercero. En los sistemas de información de la Entidad denunciada—Galp— constan acreditadas las siguientes reclamaciones del titular de los datos en relación con los “hechos” mencionados. “cliente indica que no firmó contrato y que nunca habló con nadie por teléfono. No abonará ninguna de las facturas”. Fecha 20/04/12—folio n 32--. “Niega haber contratado el Confort Gas Básico, por favor anulárselo”. Fecha 08/10/12—folio nº 36--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 “Cliente en Centro de gas enfadado que no le llegan las facturas de: 10/07/12 60,79€ y 31/08/12 43,64€” Fecha 09/10/12. –folio nº 39--. Cuarto. Queda acreditado que la Entidad denunciada—Galp- ha procedido a tratar los datos del denunciante mediante la emisión de facturas, en dónde quedan plasmados sus datos de carácter personal.—folios nº 46 a 65--. Quinto. Queda acreditado que la Entidad que procedió a recabar los datos del afectado es la Entidad--Partec Representaciones S.L -- a través del “comercial”: D. A.A.A.. Queda acreditado la siguiente cláusula contractual en el contrato formalizado por D. B.B.B. actuando en nombre y representación de Partec: “Las obligaciones establecidas para el Proveedor en la presente clausula serán también exigibles a sus empleados, colaboradores, tanto externos como internos y subcontratistas…” (folio nº 195). La misma no aporta copia del DNI o documento de naturaleza similar del titular de los datos de carácter personal. Tampoco ha realizado actividad de comprobación o verificación de contar con el consentimiento inequívoco de la afectada. Sexto. Existe entre las partes denunciadas—Galp y Partec-- un acuerdo de prestación de servicios de Fuerza de ventas de febrero del año 2012. “El Proveedor (Partec) deberá cumplir todas las obligaciones previstas en la Legislación aplicable a la actividad objeto del presente Acuerdo, y en particular, deberá cumplir con las obligaciones previstas en la Legislación vigente en materia de protección de datos de carácter personal y sobre protección de los consumidores y usuarios” (folio nº 194). “El Proveedor realizará el tratamiento necesario para la prestación de los servicios conforme a las obligaciones que se derivan de la LOPD, entre otras, las obligaciones de cumplir con el deber de información y de obtención del consentimiento del afectado al tratamiento de los datos personales que facilite al Proveedor”. (folio nº 195). “El PROVEEDOR adoptará las medidas técnicas y organizativas que sean necesarias para garantizar la seguridad, confidencialidad e integridad de los Datos (….) —folio n º 195--. TERCERO: La Entidad GALP ENERGIA ESPAÑA, S.A.U. ha presentado en fecha 12/05/14, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en los siguientes extremos: Acciones del denunciante que promueven duda o equivocación en relación al consentimiento. La compañía desea poner de manifiesto que la propia actuación del ahora denunciante ofrece dudas sobre la existencia o no del consentimiento pues tan pronto reclamaba la ilegitimidad del contrato como solicitaba la emisión de facturas, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 siendo el mismo el que facilitaba las lecturas del consumo, tal y como quedó reflejado en el sistema de atención al cliente de la compañía. La compañía obró en todo momento con la creencia legítima de que el denunciante había otorgado el consentimiento para el tratamiento de sus datos de carácter personal (…) por lo que la infracción del art. 6.1 LOPD no puede ser apreciada, puesto que no concurren los elementos de culpabilidad e intencionalidad necesarios para imputar dicha infracción. Aplicación del principio de proporcionalidad. En el presente caso, es evidente que el beneficio que podía haber obtenido la compañía del contrato firmado con el denunciante no tiene la entidad suficiente como para pensar que la compañía se arriesgaría a actuar de forma irregular conscientemente y con intención infractora. Es de concluir que el único criterio que se ha valorado para la imposición de sanciones tan absolutamente dispares a responsable del fichero y encargado del tratamiento es el volumen de negocio/s o actividad del infractor (art. 45.4

  1. d)LOPD) resultando por lo tanto, la sanción desproporcionada y la compañía discriminada. Considerando que concurren los criterios de los aparados e),
  2. f)y
  3. h)del artículo 45.4 LOPD, resultaría de aplicación lo dispuesto en el art. 45.5
  4. a)LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso, se procede a examinar la reclamación de fecha 30/10/13 de entrada en esta AEPD en dónde el denunciante pone de manifiesto los siguientes “hechos”. “de la utilización de los datos del denunciante por parte de Galp sin mediar consentimiento, siendo dado de baja en su anterior compañía (…)”.—folio nº 2--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Se aporta como medio de prueba—copia del contrato—que tiene en su poder la Entidad denunciada—Galp—(folios nº 24 y 25) en dónde se observa la plasmación de una firma en tres ocasiones: ***NOMBRE.1; la cual no se corresponde prima facie, sin género de dudas con la plasmada en la reclamación ante la OMIC—folio nº 2--; denuncia en la Comisaría de Usera (Madrid)—folio nº 11 o la contemplada el DNI del denunciante (folio nº 14). La firma que se observa en el documento contractual es distinta en el trazo, forma y uso de su nombre, dado que se observa que siempre firma con el apellido y no con el nombre en genérico—***NOMBRE.1--. El art. 3
  5. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Pero, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente"inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). Así las cosas, el denunciante negó en todo momento la contratación del servicio y pocas dudas caben, sobre la “autenticidad” de la firma del afectado, que no se corresponde con el trazado y caligrafía del mismo. En su condición de responsable del fichero y de tratamiento, Galp Energía tenía la obligación de asegurarse que contaba con el consentimiento del denunciante para tratar sus datos de carácter personal y a tal fin debió implementar y adoptar las medidas de control y verificaciones correspondientes. Efectivamente, el principio de culpabilidad previsto en el art. 130.1 de la Ley 30/1992, de 26 de noviembre, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, pues la jurisprudencia del Tribunal Supremo (sentencias de 12 de diciembre de 1995, 14 de mayo de 1999 etc.) y la doctrina del Tribunal Constitucional (después de su STC 76/1990), destacan que requieren la existencia de dolo o culpa. Sobre cuestiones de carácter similar o idénticas al caso que nos ocupa, se ha pronunciado la Audiencia nacional. Así, cabe señalar a modo ilustrativo: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 - Así la SAN 10/06/2011 en dónde se establece “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permita comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más, la firma de contrato se corresponde con el inquilino de la vivienda”. - También en idénticos términos, la SAN 08/07/12 “No es obligatoria copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, como ya señalamos en la SAN de 27 de abril 2006 (Rec. 54/2005) deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la Entidad recurrente”. - La SAN 13/05/11 esgrime lo siguiente “Pese a que con la documentación proporcionada por la distribuidora Avanza Externalización de Servicios SA no se aporta ni la última factura, ni copia del DNI, pasaporte u otro documento de identidad que permitiera comprobar que la persona titular de los datos de esos contratos era efectivamente la citada persona y que la misma consintió tal contratación”. Existencia de culpa o falta de diligencia que se aprecia en el caso presente, al haberse realizado el tratamiento de los datos personales del denunciante sin su consentimiento, por lo que, considera esta AEPD, que resulta acreditada la infracción atribuida a la parte actora. Así, la vulneración del artículo 6.1 de la LOPD por parte de Galp Energía se deriva de la falta de consentimiento del denunciante para tratar los datos personales en los ficheros de clientes y emitir facturas sin haberse acreditado la existencia de tal relación contractual. IV Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). V El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  6. a)El carácter continuado de la infracción.
  7. b)El volumen de los tratamientos efectuados.
  8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  9. d)El volumen de negocio o actividad del infractor.
  10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12
  11. f)El grado de intencionalidad.
  12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “..no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. A lo expuesto, cabe añadir que la infracción apreciada se puede cometer no sólo de forma dolosa sino culposa como hemos reseñado anteriormente, y, por otra parte, en cuanto al volumen de tratamientos, la parte recurrente es una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que debe ser especialmente cuidadosa con dichos tratamientos, y que como ha declarado la Audiencia Nacional, los perjuicios directamente causados o beneficios obtenidos por la parte recurrente son circunstancias que no admiten ser incluidas dentro de lo que deben ser objeto de valoración al amparo de lo previsto en el art. 45 de la LOPD ( Sentencia de 19 de octubre de 2005 , entre otras). Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos. Cabe indicar que la Entidad denunciada—Galp—procedió a dar de alta diversos servicios (folio nº 24 y 25) en base a un contrato no formalizado por el denunciante, por lo que queda acreditada la infracción del art. 6.1 LOPD; no adoptando medida alguna de verificación de la prestación del consentimiento efectivo del afectado (vgr. llamada de verificación, envío del documento contractual con las cláusulas contractuales para el análisis del cliente, etc). La parte recurrente interesa la aplicación de lo previsto en el artículo 45.5 letra
  21. d)de la LOPD según el cual "Cuando el infractor haya reconocido espontáneamente su responsabilidad”. Con relación a la alegación de la Entidad denunciada—Galp—de “reconocimiento de la responsabilidad” cabe señalar que el mismo no se produjo en el momento procedimental oportuno, sino en las alegaciones a la “propuesta de Resolución” de fecha 07/04/2014, motivo por el que no procede la aplicación del art. 45.5
  22. d)LOPD. La Audiencia Nacional tiene establecido en multitud de sentencias en relación a dicho precepto que no es sino una manifestación del llamado principio de proporcionalidad (art. 131.1 de la Ley 30/1992), incluido en el mas general de prohibición de exceso, y reconocido por la jurisprudencia como Principio General del Derecho; por esta Sala se tiene establecido que dicha regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas atendidas las circunstancias del caso concreto. Lo cual, insistimos, puede darse, por excepción, en casos muy extremos (de aquí la expresión "especialmente cualificada") y concretos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 La posibilidad prevista en el artículo 45.5 no es sino consecuencia del valor justicia que informa nuestro Ordenamiento Jurídico -art. 1 CE , en relación con las STC 50/1995 y 173/1995 -, siendo plasmación de tal principio en casos de cualificada disminución de la culpa o de la antijuridicidad. El momento procedimental oportuno para el “reconocimiento voluntario” de la responsabilidad según criterio reiterado de esta Agencia es con ocasión de las alegaciones al Acuerdo de Inicio o con anterioridad al mismo, esto es, cuando la Entidad denunciada ha tenido conocimiento de los “hechos” que se le imputan, se le notifica la presunta infracción cometida y las consecuencias legales en caso de resultar sancionada. Para que el reconocimiento de la culpabilidad pueda ser calificado de espontaneo, como exige el artículo 45.5.d), debería haberse efectuado antes del trámite de alegaciones a la propuesta de resolución. Debe recordarse que en la notificación del Acuerdo de Inicio del Director de la AEPD vinculado al PS/00554/13 se le otorgaba “la posibilidad de reconocer voluntariamente su responsabilidad”, sin que tal reconocimiento se produjese en tiempo y forma por la hoy Entidad recurrente. La “espontaneidad” se ve desvirtuada cuando ha tenido lugar toda la tramitación de un procedimiento en dónde la parte recurrente ha podido esgrimir en Derecho lo que ha estimado oportuno y ha podido aportar los medios de prueba que en Derecho ha considerado necesarios: sobre la base de la negación de los “hechos” objeto de enjuiciamiento administrativo. Se concluye por tanto a la luz de las consideraciones precedentes, que no es posible con motivo de las alegaciones a la “propuesta” de Resolución, aplicar la atenuante privilegiada del art. 45.5
  23. d)LOPD. A la hora de motivar la sanción, se han de tener en cuenta los criterios de graduación de las sanciones del art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.45.4
  24. c)LOPD. Galp es una compañía encargada de la distribución, comercialización y suministros de gas y electricidad, que trata de manera frecuente los datos de sus potenciales clientes en el alta y baja de contratos y los incorpora a sus ficheros informatizados.  El volumen de negocio o actividad del infractor.45.4
  25. d)LOPD. A modo ilustrativo, la compañía Galp, según fuentes consultadas, obtuvo unos aproximadamente 359 millones de beneficio neto en 2012 y unos aproximadamente 162 millones de beneficios en los nueve primeros meses del año 2013.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.45.4
  26. h)LOPD. En el presente caso, el “cliente” manifiesta su disconformidad en la contratación en fecha 20/04/12, como reflejan lo sistemas de información, “cliente indica que no firmó contrato ni habló con nadie por teléfono..”—folio nº 32-, “…ya que él niega haber C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 contratado gas y Confort Gas básico “—folio nº 35-- la Entidad denunciada—Galpcontinuó con la emisión de facturas hasta la siguiente fecha—26/12/12— (folio nº 64) y la cancelación total de sus datos del sistema informático de la misma no se produjo hasta el envió de burofax en fecha 28/06/13 una vez iniciado el presente procedimiento; por lo que no se puede estimar una actuación diligente de la compañía desde el momento en que recibe la primera noticia hasta que cancela los datos personales del afectado. A tal efecto baste traer a colación el siguiente pronunciamiento de la AN—SAN 15/04/14 (Rec. nº 123/2013). “El hecho de que la actora contratara con CONTEC la promoción y venta de dicho suministro de energía eléctrica y encargara a esta compañía la recogida de los datos de los clientes y de su consentimiento para la contratación del nuevo servicio, con la obligación de poner a disposición de la demandante los documentos o grabaciones acreditativas del consentimiento en la contratación, no exime de responsabilidad a la sociedad sancionada en el cumplimiento de la normativa vigente en materia de protección de datos personales, pues esta es quien incorpora los datos personales de los clientes a sus ficheros, emite las facturas y gira los correspondientes recibos bancarios, por lo que debe asegurarse de que el titular de tales datos personales ha prestado su consentimiento inequívoco para su tratamiento con el fin señalado”. “El hecho de que CONTEC fuera sancionada con multas de menor importe no desvirtúa la conclusión alcanzada, pues su responsabilidad como encargada del tratamiento de los datos de los denunciantes difería sustancialmente de la de NATURGAS, por cuya cuenta operaba aquella en la promoción y venta de sus productos, siendo con la demandante con la que se entablaba la relación contractual respecto del suministro de energía eléctrica que había de justificar el tratamiento de los datos personales”. Existen distinciones claras entre las dos Entidades sancionadas: Galp ostenta la condición de responsable del fichero (art. 43 LOPD) siendo una compañía habituada al tratamiento de datos de potenciales “clientes”; ha tratado los datos del afectado, incorporándolos a sus sistemas informáticos y mediante la emisión de facturas; no procedió a realizar actividad alguna tendente a verificar la identidad real del mismo (llamada de bienvenida, sms de activación del servicios/s contratados, etc); la capacidad de reacción frente a las reclamaciones del cliente fueron claramente negligentes y el conjunto de actuaciones con el encargado del tratamiento en materia de LOPD no pueden ser consideradas acordes a la naturaleza de una gran compañía; la diferencia en el volumen de negocios entre ambas Entidades es palmario de conformidad con los datos y fuentes externas consultadas y los perjuicios al afectado han quedado sobradamente acreditados. Por todo ello se acuerdo sancionar a la Entidad denunciada—Galp—con una multa de 50.000€, por la infracción del contenido del art. 6.1 LOPD, sanción pecuniaria de carácter bajo dentro del marco de las infracciones graves. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 VI Por lo tanto, en el presente recurso de reposición, la Entidad recurrente GALP ENERGIA ESPAÑA, S.A.U. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la Entidad GALP ENERGIA ESPAÑA, S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 11 de abril de 2014, en el procedimiento sancionador PS/00554/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad GALP ENERGIA ESPAÑA, S.A.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.