REPOSICION-PS-00727-2012

(91). La factura, además del nombre, apellidos, NIF y domicilio del denunciante, recoge el número de CUPS y los datos bancarios parcialmente anonimizados del denunciante. Respecto a la Caja o Banco consta “**** (ING BANK N.V.)”, como Sucursal, “****”, como D.C. “**” y como Cuenta Corriente “**********”, (folio 91) SEXTO: La denunciada ha manifestado que el 29 de julio de 2011 el denunciante firmó con ella un contrato de servicios de Confortgas Básico, registrado con el número ***NÚMERO.1 y un contrato de Gas Natural registrado con el número ***CONTRATO.1. (Folio 73) No obstante, estos números de referencia no figuran en las impresiones de pantalla procedentes de los ficheros de la compañía denunciada que obran en los folios 27 a 31 y 167 a 173 La denunciada ha manifestado también, que el denunciante suscribió con ella, a través del TSA, el contrato “***CONTRATO.2 referido a la instalación ************1 en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 relación con el servicio de suministro de gas y el contrato ***CONTRATO.3 relacionado con la instalación ************2, referido al servicio de Confortgas.” (Folio 155) SÉPTIMO: En el periodo probatorio se requirió al denunciante para que manifestase si él había firmado el contrato de cuya copia le dimos traslado. Se trata del documento que obra al folio 83, Contrato de Servicios Confortbásico, que la denunciada aportó a la Agencia con las alegaciones al acuerdo de inicio del expediente. También se interrogó al denunciante acerca de si era titular del citado número de cuenta. (Folios 132 y 133) El denunciante respondió que él no firmó el contrato y que no es su firma. Adjunta de nuevo copia de su DNI. Respecto a la cuenta corriente declara que no se corresponde con la suya aunque coinciden el código de entidad bancaria, la sucursal y el dígito de control, (folio 138) OCTAVO: Ha quedado acreditado en el expediente que, en los ficheros de Madrileña Suministros de Gas, S.L. constan los siguientes datos personales del denunciante. - Nombre, dos apellidos y NIF Domicilio, en calle (C/.........................1) Madrid, Teléfono de contacto ***TEL.1 No constan datos bancarios. Como forma de pago figura pago por ventanilla (Folios 27, 28 y 173) La denunciada ha aportado también impresiones de pantalla (folios 167 a 174) de las que resulta que asociados a estos datos se dieron de alta los siguientes contratos: - Contrato ***CONTRATO.2, con fechas de inicio y fin, respectivamente, 21 de octubre de 2011 y 21 de diciembre de 2011, (folio 167) Contrato ***CONTRATO.3, con fecha de alta 24 de agosto de 2011, (folio 168) NOVENO: Obran en el expediente copia de las siguientes facturas emitidas por la denunciada a nombre del denunciante, con su nombre, dos apellidos, NIF y domicilio: - Número de factura ***FACTURA.1, correspondiente al nº de referencia ***REF.1, con fecha de emisión 21 de diciembre de 2011, por un importe de 49,08 €. (Folios 34, 35, 140, 161 y 162) - Número ***FACTURA.2, correspondiente al nº de referencia ***REF.1, con fecha de emisión el 23 de diciembre de 2011, por un importe de 0,47 €. (Folios 36, 37,142, 164 y 165) Al pie de ambas facturas se indica, “Sistemas para efectuar el pago de esta factura”, y se especifican las entidades bancarias a través de las cuales puede hacerse el pago. DÉCIMO: Obran en el expediente, aportados por el denunciante, los siguientes documentos que le remitió la denunciada: - Carta fechada el 25 de agosto de 2011 (folio 2) dando la bienvenida al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 denunciante a “Confort Gas en su modalidad Básica de Madrileña suministro de Gas”. - Carta fechada el 30 de agosto de 2011 recordando al denunciante el próximo vencimiento de una deuda. Como número de referencia figura el ***REF.2. Bajo la rúbrica “Datos Documento Pago”, figura lo siguiente: “Número de documento: ***NÚMERO.2. Fecha de emisión: 29.08.2011. Fecha de vencimiento: 13.09.2011”. Bajo la rúbrica “Descripción”, figura “Servicios” “Confort gas básico”, 6,91 €. (Folio 3) En ambos documentos aparece el nombre, dos apellidos, NIF y domicilio del denunciante. En ambos aparece el logotipo de GALP y el nombre “galp energía, madrileña gas”, así como la sociedad MADRILEÑA SUMINISTRO DE GAS, S.L. , su CIF y su domicilio social. UNDÉCIMO: Los contactos habidos entre la denunciada y el denunciante de los que tenemos constancia documental, procedentes del fichero informático “MSG Solicitud ATCLI “, son los siguientes: - - De fecha 10 de noviembre de 2011, a las 17:22 horas: “El cliente solicita le sea enviada una copia de su contrato”. Hay una Nota interna con la siguiente información: “Con fecha 23/12/2011 se llama al cliente para informarle que recibirá el contrato en breve, por lo que se cierra el aviso” (folio 41) De fecha 28 de noviembre de 2011, a las 17. 56 horas: “Cliente vuelve a reclamar el contrato”. De fecha 9 de diciembre de 2011, a las 17:20 horas: “ El cliente vuelve a llamar, deja teléfono ***TEL.2 /***TEL.3” (Folios 41 a 43, 176 y177) DUODÉCIMO: Obra en el expediente -aportada por el denunciante-, copia de una carta firmada por el “Director de Negocio Minorista”, sin fecha, con la que se acompaña el Anexo Protección de Datos de Carácter Personal, en el que consta el nombre dos apellidos y NIF del denunciante. En el escrito, además de informar al denunciante que pude ejercitar los derechos ARCO a través de la dirección de correo electrónico derechosarco@galpenergia.com, la denunciada le comunica que “con el fin de adecuar los términos contractuales suscritos con Ud. Adaptándolos a las nuevas relaciones y normativa vigente en materia de Protección de Datos de Carácter Personal, le acompañamos con esta comunicación una nueva cláusula de Protección de Datos a anexar a su contrato ya existente y que sustituye a las anteriores.” (Folios 145 y 146) El denunciante aporta copia del correo electrónico con la respuesta que dirigió el 10 de enero de 2012 a la dirección derechosarco@galpenergia.com, con el siguiente texto: “ a partir de su comunicación sobre la finalidad de gestionar datos con carácter personal por relación contractual con vds. les debo señalar que en ningún momento he realizado tal relación. De hecho les fue solicitado en reiteradas ocasiones por mi parte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 copia del contrato suscrito y haciendo caso omiso a las mismas, entendiendo por mi parte que los datos personales que vds. tienen les han sido facilitados sin mi pleno consentimiento, poniendo en antecedentes de lo sucedido ante el organismo oportuno para determinar posibles responsabilidades. Por todo ello y ante lo indicado, vds. no tienen motivo para tener mis datos personales y por lo tanto no tienen autorización para su utilización”. (Folio 147) El subrayado es de la AEPD. DECIMOTERCERO: Se solicitó a la entidad bancaria ING DIRECT información relativa a si el denunciante consta como titular o autorizado del número de cuenta corriente ***CCC.1. ING respondió que el denunciante no figura como titular o interviniente en otro grado en la citada cuenta, (folio 136)>> FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II MADRILEÑA SUMINISTRO DE GAS, S.L. ( en lo sucesivo la recurrente o GALP) ha interpuesto en fecha 17 de julio de 20013, mediante correo administrativo que tuvo entrada en el registro de esta Agencia Española de Protección de Datos el 22 de julio, recurso de reposición en el que solicita textualmente que “sean revisados y valorados, de nuevo, los criterios atenuantes y circunstancias que concurren en el presente caso para una más adecuada graduación de la sanción y en su caso se pondere la disminución de la misma”. (El subrayado es de la AEPD) En apoyo de su pretensión la recurrente ofrece los siguientes argumentos: Primero: Detalla las medidas adoptadas por la compañía dirigidas a dar satisfacción al denunciante, consistentes en la cancelación de sus datos personales y el envío de un burofax informándole de esta decisión. Describe a continuación aquellas otras que ha adoptado para evitar futuras situaciones anómalas, medidas que, dice, han supuesto un esfuerzo “muy costoso y doloroso para la empresa que ha sido víctima de un error en la selección de las Task-Force y de la mala praxis de estas empresas”, y que, sintéticamente, son las siguientes:

1. a)La realización de campañas de emisión de llamadas a aquellos clientes con reclamaciones por contratación indebida en agosto de 2012 para ofrecerles explicaciones y resolver quejas.
2. b)Renuncia a la facturación de los suministros correspondientes a contratos anulados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17
3. c)Paralización de la actividad comercial en tanto se adoptan medidas internas dirigidas a la revisión y adecuación de los procedimientos de contratación a la LOPD.
4. d)Revisión de los contratos con las empresas de Task-Force y cancelación de aquellos en los que las empresas contratantes ofrecen servicios deficientes.
5. e)Adopción de un protocolo de contratación caracterizado, entre otras circunstancias, por exigir copia del DNI al cliente y la identificación del agente de ventas mediante una clave que deberá hacerse constar en el formulario del contrato.
6. f)Implementación de una segunda validación de los contratos celebrado.
7. g)Adopción por la compañía de un protocolo de actuación para “la detección y subsanación de la contratación irregular”. Segundo: Rechaza la agravante de “infracción continuada” que la Agencia apreció en la resolución impugnada. Tercero: Rechaza la agravante del artículo 45.4,
8. f)referida a la “grave falta de diligencia” que la Agencia apreció en la resolución impugnada. Cuarto: Alude a un supuesto pronunciamiento de la AEPD, que esta Agencia no ha hecho en la resolución que nos ocupa, respecto al logo de GALP que aparece en las facturas y a la denominación de la entidad contratante. III En respuesta al primero de los alegatos de la recurrente, que versa sobre las medidas adoptadas, tanto para dar satisfacción al denunciante como las encaminadas a evitar futuras situaciones anómalas, debe indicarse lo siguiente. Estos hechos que ahora invoca la recurrente, con el propósito de que sirvan de fundamento a una disminución de la sanción impuesta, fueron, en esencia, convenientemente valorados en la resolución impugnada, encuadrándose en el apartado
9. j)del artículo 45.4 de la LOPD en calidad de circunstancia atenuante. Así, en el Fundamento Jurídico VI de la citada resolución se decía textualmente: <<Debe tomarse en consideración, por otra parte, el hecho de que la denunciada haya tomado las medidas oportunas para evitar que estos hechos vuelvan a repetirse, adoptando un protocolo en el que, entre otros mecanismos, se contempla la exigencia de solicitar una copia del DNI. Conducta que debe encuadrarse en el apartado
10. j)del artículo 45.4 de la LOPD, en calidad de atenuante.>> Por ello, la invocación que la recurrente hace al catálogo de medidas adoptadas en aras a obtener una disminución de la sanción impuesta no puede ser atendida. Esto, no solo porque en la resolución impugnada se otorgó a esas medidas la máxima relevancia que es posible asignarles en la determinación del importe de la sanción sin trasgredir los artículos 45.4 y 45.5 de la LOPD, sino también, porque con esta actuación la recurrente no ha hecho otra cosa que ajustar su comportamiento a las obligaciones que le impone la LOPD. Obligaciones que tenía, y debía haber respetado, cuando acontecieron los hechos por los que ha sido sancionada. En el segundo de sus alegatos la recurrente muestra su discrepancia con la agravante del artículo 45.4.a), infracción continuada, apreciada por la Agencia en la resolución impugnada; calificación que, dice, “es excesiva en consideración a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 hechos”. Los argumentos que a tal fin ofrece consisten en un relato temporal – que no es sino una reiteración de otros alegatos ya formulados en el curso del expediente- para concluir diciendo que “Cualquier tratamiento de datos realizado en este periodo ha sido siempre con intención de dar satisfacción al cliente, ya sea en búsqueda de su información sobre los contratos que nos pide, como el tratamiento normal de baja de sus servicios.” Pues bien, estas explicaciones que ofrece nada tienen que ver con la realidad de los hechos que constituyen el presupuesto fáctico de la infracción por la que ha sido sancionada: la vulneración del principio del consentimiento. Nos remitimos a este respecto al Fundamento de Derecho Tercero de la resolución, en particular al apartado B) del que se reproduce el siguiente fragmento: “B) En el presente caso, ha quedado plenamente acreditado en el expediente que los datos personales del denunciante (nombre, dos apellidos, NIF y domicilio) se incorporaron a los ficheros de la entidad MADRILEÑA SUMINISTRO DE GAS, S.L. (GALP) asociados al alta de dos contratos, confortgas básico, relativo a un servicio de mantenimiento, y suministro de gas, contratos que el denunciante niega haber celebrado. GALP ha manifestado en sus alegaciones que “el 29 de julio de 2011 el denunciante firmó con ella un contrato de servicios de Confortgas Básico, registrado con el número ***NÚMERO.1 y un contrato de Gas Natural registrado con el número ***CONTRATO.1”, (hecho probado sexto, folio 73). Por otra parte, a través de la documentación que obra en el expediente administrativo, se verifica que los datos personales del denunciante estaban incorporados a los ficheros de GALP, (folios 27,28 y 173, hecho probado octavo) y que estos datos se encontraban en los ficheros de la compañía asociados a los contratos con referencias ***CONTRATO.2, -con fechas de inicio y fin, respectivamente, 21 de octubre de 2011 y 21 de diciembre de 2011-, y ***CONTRATO.3, con fecha de alta 24 de agosto de 2011, (folios 167 y 168)” (El subrayado es de la AEPD) En el Fundamento Jurídico VI de la resolución se dice: <<Respecto a los criterios de graduación (..) estimamos que concurren diversas circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar las siguientes: - El carácter continuado de la infracción imputada, (apartado
11. a)del artículo 45.4, pues los datos del denunciante fueron tratados en sus ficheros, asociados a dos contratos, desde el 24 de agosto de 2011 (contrato ***CONTRATO.3) hasta el 21 de diciembre de 2011 (contrato ***CONTRATO.2), según manifestaciones de la propia entidad.>> Por último debe señalarse que de manera constante la Audiencia Nacional viene confirmando en sus Sentencias la aplicación que la Agencia hace de esta circunstancia agravante, la misma que se recoge en la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 En su tercer alegato la recurrente discrepa del criterio de la Agencia, que estimó la agravante del artículo 45.4.
12. f)de la LOPD relativa al grado de intencionalidad. En su defensa GALP argumenta que “se ha puesto por esta parte toda la diligencia debida para la búsqueda y aclaración de los hechos. Que la tardanza a la hora de encontrar la documentación relativa a los contratos no puede ser imputada en ningún caso a la Compañía”. Y añade que “Sin duda, ha quedado demostrada una diligencia razonable tanto en los tiempos de reacción como en la atención que se le presta al cliente.” A este respecto hay que señalar que del tenor de lo manifestado por la recurrente se aprecia una confusión entre lo que es la falta de diligencia, que integra el elemento subjetivo de la infracción y se encuadra en la circunstancia agravante del articulo 45.4.
13. f)-el grado de intencionalidad-, y la diligencia en la reacción para poner fin a las consecuencias de su conducta irregular, que se encuadra en el artículo 45.5.
14. b)de la LOPD. Comenzaremos precisando que en la resolución que se impugna la Agencia, en contra de lo que la recurrente señala, en ningún caso se ha referido a la “tardanza” a la hora de encontrar la documentación relativa a los contratos como una muestra de su falta de diligencia. En la resolución se expone muy claramente que la falta de diligencia demostrada por la entidad en su actuación, falta de diligencia que integra en este caso el elemento subjetivo de la infracción por la que ha sido sancionada, se materializó en no haber podido acreditar la identidad de la persona que prestó el consentimiento a la contratación. Se reproducen por esclarecedores los siguientes fragmentos de la resolución sancionadora: * Fundamento Jurídico VI: <<Respecto a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, estimamos que concurren diversas circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar las siguientes: (…) - “El grado de intencionalidad”, apartado f), expresión que debe entenderse en el sentido de grado de culpabilidad y que en el presente caso se traduce en la grave falta de diligencia demostrada por la denunciada en relación con los hechos que nos ocupan. Como se ha expuesto en los Fundamentos precedentes GALP ha omitido todo control sobre la actuación llevada a cabo por su contratista. En este sentido podemos traer a colación la STAN de 29 de abril de 2010 en la que manifiesta que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación.>> * Fundamento Jurídico V: <<Corresponde examinar a continuación si concurre el elemento subjetivo de la culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido. Una vez constatado que la denunciada realizó la acción típica (infracción del principio del consentimiento) es necesario verificar la existencia del elemento de la culpabilidad ya que no es admisible en nuestro Derecho la imposición de sanciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 basadas en la responsabilidad objetiva del presunto infractor. El Tribunal Constitucional, en STC 76/1999, afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas Por otra parte debemos indicar que, del tenor del artículo 130.1 de la LRJPAC, que proclama el principio de culpabilidad en el marco del procedimiento administrativo sancionador, se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. A este respecto la Audiencia Nacional, en Sentencia de 17 de octubre de 2007 (Rec. 63/2006), manifiesta que “....el ilícito administrativo previsto en el artículo 44.3.
15. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. Así, en la Sentencia anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD) En el asunto que no ocupa no existe ninguna duda de la presencia del elemento subjetivo de la culpabilidad, concretado en la grave falta de diligencia demostrada por GALP, responsable del fichero al que se incorporaron los datos del denunciante asociados al alta de dos contratos, -de suministro de gas y de servicios, Confort Gas Básico- sin contar con su consentimiento. En este sentido podemos traer a colación la STAN de 29 de abril de 2010 en la que el Tribunal manifiesta que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación.” (El subrayado es de la AEPD) Como se ha precisado en los Fundamentos Jurídicos precedentes GALP no ha aportado copia del DNI o de otro documento que acredite la identidad del contratante, lo que demuestra que no adoptó con ocasión de la contratación la diligencia que es exigible, máxime cuando el desarrollo de su actividad profesional conlleva un continuo tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 La vinculación entre la omisión de la diligencia debida y la responsabilidad derivada de no recabar y conservar la copia de un documento identificativo del titular de los datos tratados, la establece la Audiencia Nacional en su Sentencia de 19 de mayo de 2011 (Rec. 622/2009). Aunque el supuesto analizado en la citada Sentencia no versa sobre una infracción del artículo 6.1 LOPD -sino del 4.3 -, es plenamente aplicable al asunto que nos ocupa. En la referida Sentencia de 19 de mayo de 2011 la Audiencia Nacional manifiesta (Fundamento de Derecho cuarto) que “Evidentemente, un mayor cuidado y diligencia por parte de la recurrente en el tratamiento de los datos de sus clientes le habría obligado a custodiar una copia del DNI o del permiso de residencia al momento de dar de alta la contratación y ello le habría permitido apercibirse de que el número que figuraba en sus ficheros no correspondía con la clase de documento de que disponía el cliente y, de ese modo, al dar de alta la incidencia por el impago lo habría hecho en relación con el verdadero deudor y no en relación con el denunciante que nunca ha sido cliente de la entidad ahora recurrente”. ( El subrayado es de la AEPD). No obstante, GALP aduce en su defensa, en el escrito de alegaciones a la propuesta de resolución, que no concurre el elemento de la culpabilidad. En este sentido considera que el contrato suscrito con su encargada de tratamiento recogía la cláusula del artículo 12 LOPD, sin que pueda exigírsele otra actuación. Considera que la AEPD le está exigiendo “diligencia en la recogida de los datos” cuando ésta incumbe a la encargada de tratamiento. Pues bien, esta apreciación de la denunciada queda resuelta a la luz de las consideraciones hechas en los Fundamentos Jurídicos precedentes a las que se añade que en el contrato suscrito con su encargada de tratamiento no se recogía ninguna previsión o protocolo de actuación, limitándose a reproducir el artículo 12 de la LOPD. Añade también la denunciante que la falta de la copia del DNI “no prueba que el cliente no diera sus datos con pleno convencimiento y de forma voluntaria con la aceptación de la oferta” propuesta, y que el hecho de que la firma que figure en el contrato difiera de la del denunciante “es algo circunstancial” pues en muchas contrataciones efectuadas de forma correcta los interesados no reflejan firmas idénticas a las de su documento de identidad. De dar por buenas tales afirmaciones llegaríamos a la absurda conclusión de que, en la contratación efectuada mediante el sistema de “Task- Force”, el único elemento determinante del consentimiento es la manifestación de la empresa que oferta el contrato de adhesión. Sin embargo, como se ha expuesto, corresponde la carga de la prueba a la empresa que trata los datos, especialmente cuando el titular de los datos niega la contratación - como aquí sucede-. En ese contexto, no son elementos accesorios circunstancias como las indicadas: que no exista copia del documento que identifique al contratante y que la firma sea radicalmente distinta. Estamos por el contrario en presencia de una manifiesta falta de diligencia de la entidad denunciada. El artículo 43.1 de la LOPD indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. En consecuencia, MADRILEÑA SUMINISTRO DE GAS, S.L., en su condición de responsable del fichero al que se incorporaron los datos personales del afectado vinculados al alta de dos contratos que él no consintió, es responsable de una infracción del artículo 6.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 En el escrito de alegaciones a la propuesta de resolución la denunciada argumenta que ha cumplido con las previsiones del artículo 12 de la LOPD y que no le corresponde a ella velar por la actuación del encargado de tratamiento.>> * Fundamento Jurídico III, apartado D): <<D) GALP ha declarado que la contratación con el denunciante se llevó a efecto mediante un contrato escrito firmado por él. Precisa que la comercialización se realizó al amparo de un encargo de tratamiento suscrito con GAS NATURAL SDG, S.L. y que en la contratación se siguieron las pautas habituales en esta forma de contratación: acreditación de la identidad del posible cliente mediante exhibición de DNI al comercial, información de las condiciones del contrato, y firma de los mismos por el cliente. La denunciada ha remitido a la AEPD con sus alegaciones al acuerdo de inicio, en prueba del supuesto consentimiento otorgado por el denunciante, copia de los contratos relativos al suministro de gas y al servicio Confort gas básico, así como copia de la autorización a Madrileña Suministro de Gas, S.L. para que solicitara en su nombre el cambio de comercializadora. La denunciada no aportó inicialmente, durante las actuaciones de inspección previa, ninguno de estos documentos. Argumentó entonces que el punto de suministro del denunciante formaba parte de los que habían sido transmitidos a GALP en el marco de la operación de desinversión de activos exigida por la Comisión Nacional de la Competencia (CNC), como consecuencia de la adquisición de Unión Fenosa por parte de Gas Natural. Y concluía de lo anterior que “los contratos de suministros y servicios suscritos por la afectada fueron firmados en su día con la compañía GAS NATURAL SERVICIOS SDG, S.A. Por tanto la información solicitada en los puntos referidos (la copia de los contratos) se encuentra en poder de la entidad GAS NATURAL SDG, S.A.”, (folio 12) Posteriormente, en el escrito de alegaciones al acuerdo de inicio GALP reconoce que el denunciante no procede de la desinversión sino que fue captado por la entidad Gas Natural (TSA), encargada de la gestión comercial durante un periodo transitorio. Llegados a este punto es obligado valorar si la denunciada adoptó las medidas que la diligencia exige a fin de acreditar que la persona de quien recabó y obtuvo el consentimiento al tratamiento era su titular; única hipótesis en la que el tratamiento que GALP ha venido haciendo de los datos del afectado tendría amparo legal. A este respecto es fundamental advertir que GALP- pese a que le fue solicitado en el escrito de información previa, durante las Actuaciones de Inspección, y en fase de prueba (folios 8 y 127)-, no ha aportado al expediente copia del DNI del denunciante ni de ningún otro documento que acredite su identidad. La obligación que incumbe a la entidad responsable del fichero al que se incorporan los datos personales del afectado de recabar su “consentimiento inequívoco”, lleva implícita una actitud diligente, que se traduce en la necesidad de contrastar, a través de la documentación pertinente, la identidad de quien facilita los datos, mediante la exhibición del original del documento identificativo primero y anexando una copia del citado documento a la declaración de voluntad que quiere hacer valer, después. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 No puede obviarse que corresponde a la denunciada la carga de la prueba del consentimiento del titular de los datos que se incorporaron a sus ficheros. La doctrina emanada de la Audiencia Nacional en relación a la carga de la prueba sigue esta orientación de manera constante, pudiendo remontarnos a la STAN de 21 de diciembre de 2001.Muy significativa es la más reciente STAN de 27 de enero de 2011 (Rec 349/2009), en cuyo Fundamento de Derecho Tercero, la Audiencia declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. (El subrayado es de la AEPD) Cabe citar, asimismo, la STAN de 31 de mayo de 2006, (Rec 539/2004) en la que el Tribunal afirma: “Por otra parte es al responsable del tratamiento (por todas, Sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de los datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”. Por otra parte, la copia de los contratos que GALP ha aportado a la AEPD y el documento en el que el denunciante supuestamente autoriza a la entidad denunciada para que actúe en su nombre ante el Distribuidor, se encuentran firmados. No obstante, la firma que consta en los documentos es, a simple vista, radicalmente diferente de la firma del denunciante, de la que tenemos ejemplos en el escrito de interposición de la denuncia en la AEPD (folio 1) y en las copias del DNI que nos ha remitido (folios 5,6, 139). Además, en fase de prueba, se interrogó al denunciante sobre el documento contractual que GALP ha aportado y éste negó haber firmado los documentos y advirtió que esa no era su firma (folio 138) Parece procedente traer a colación la STAN de 29 de octubre de 2009 (Rec. 585/2008), por cuanto su pronunciamiento es plenamente extrapolable al supuesto que analizamos. En el asunto examinado por la Sentencia la firma que aparecía en el documento aportado por la denunciada en prueba de la contratación tampoco coincidía – como acontece ahora - con la del denunciante. La Audiencia (Fundamento de Derecho quinto) declaró que “La denunciante, (….) insiste en que nunca firmó la documentación que aparece a los folios 73 y 74 del expediente administrativo. Por lo tanto, el tratamiento de datos realizado por XXXXXXXXXXAsistencia Técnica y Asesoramiento no contaba con el consentimiento de la denunciante que no firmó ningún contrato y la recogida de datos y el tratamiento posterior para la entrega a la empresa de Gas Natural con la que XXXXXXXXXXAsistencia Técnica y Asesoramiento había acordado el contrato de colaboración comercial nunca contó con el consentimiento expreso de la denunciante. Basta comparar las firmas de la denunciante que obran en los folios 73 y 74 con la que obra en la denuncia ante la Agencia y en el acta de su declaración testifical, para comprobar cómo dichas firmas no coinciden por lo que, unido a la contundente declaración de la denunciante en el sentido de que nunca había firmado ningún documento, permite concluir que la recurrente no disponía del consentimiento de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 denunciante y no se justifica el tratamiento de datos realizado lo que obliga a la confirmación de la resolución impugnada” (El subrayado es de la AEPD) Se añaden a las circunstancias relatadas otros elementos que desvirtúan la fuerza probatoria que GALP pretende otorgar a los documentos aportados. Es cierto que en ellos se detalla el número de CUP del denunciante. Sin embargo este extremo hay que ponerlo en relación con el hecho de que obre en poder de la denunciada la copia de una factura que ENDESA giró al denunciante en el año 2009, copia que la denunciada ha aportado al expediente con su escrito de alegaciones. En esa factura no solo figuran todos los datos identificativos del denunciante, también consta la referencia que identifica el punto de suministro del denunciante, (CUP). Llama la atención, además, que en los contratos que GALP atribuye al denunciante se señale que la forma de pago es la domiciliación bancaria y conste un número de cuenta corriente del que el denunciante no es titular. Así lo ha confirmado ING en respuesta a la diligencia de prueba practicada, (hecho probado decimotercero). Curiosamente en la factura que ENDESA giró en el año 2009 al denunciante - que obra en poder de GALP y que nos ha facilitado-, se incluyen sus datos bancarios parcialmente anonimizados. En ella figura el código de entidad, - ING DIRECT NV, Sucursal en España-, el código de sucursal, el dígito de control y solo algunos de los dígitos de la cuenta bancaria. Precisamente, al interrogar en pruebas al denunciante acerca de si él era titular de la cuenta bancaria que aparecía en los contratos aportados por GALP, además de negarlo precisa que coinciden con su número de cuenta el código de la entidad, la oficina y el dígito de control, pero no el número de cuenta. En definitiva, los únicos dígitos que coinciden son los que figuran sin anonimizar en la factura de Endesa. Extremos que deben valorarse a la luz del hecho de que el referido número de cuenta bancaria no se haya incorporado a los ficheros de la denunciada y que la forma de pago que en ellos se registra no sea la que determina el documento contractual que se atribuye al denunciante, esto es, la domiciliación bancaria, sino el pago por ventanilla. Así se hizo constar en las facturas que GALP libró al denunciante y así es como el denunciante hizo efectivo el pago del suministro recibido. De las consideraciones precedentes se concluye que, pese a la tesis de GALP, según la cual el tratamiento de los datos personales del denunciante estaba amparado en los contratos suscritos por éste, a través de su encargada de tratamiento (Gas Natural Servicios SDG, S.A.), y del consentimiento otorgado para el cambio de comercializadora, lo cierto es que la denunciada no ha aportado pruebas que acrediten que la entidad recabó y obtuvo el consentimiento inequívoco del afectado y que actuó - en el cumplimiento de la obligación impuesta por el artículo 6.1 LOPD – con la diligencia que las circunstancias del caso requieren. Esto, por cuanto la entidad no ha aportado copia de ningún documento que identifique al denunciante y que confirme que fue él quien otorgó el consentimiento a la contratación. Tampoco puede atribuirse a las copias de los contratos facilitados por GALP la virtualidad probatoria que esta entidad les otorga, por cuanto la firma que figura en ellos es radicalmente distinta de la firma del denunciante y este ha confirmado en pruebas que no es su firma. Añadiendo a lo anterior que los datos bancarios que aparecen en el contrato no coinciden con los del denunciante, pues solo son iguales aquellos que constan sin anonimizar en la copia de la factura que ENDESA le había emitido varios años antes, en 2009. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 En consecuencia, la conducta de GALP anteriormente descrita vulnera el principio del consentimiento que proclama el artículo 6.1 de la LOPD, infracción tipificada en el artículo 44.3.
16. b)de la citada Ley Orgánica que dispone: “Son infracciones graves, (..):
17. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”.>> Ahora bien, la diligencia en la reacción que GALP invoca en su recurso para desvirtuar la agravante del articulo 45.4,
18. f)del artículo 45.4, sí fue valorada por la Agencia, encuadrada, como debe ser, en el artículo 45.5.
19. b)de la LOPD. Así, se apreció a favor de la recurrente la atenuante privilegiada del citado precepto que dio lugar a que se le impusiera la sanción con arreglo a la escala prevista para las infracciones leves, inferiores inmediatamente a la que corresponde a las infracciones graves, como es la efectivamente cometida. Reproducimos a continuación el siguiente fragmento del Fundamento Jurídico VI de la resolución impugnada: << Respecto a la posibilidad de que se aprecie la circunstancia prevista en el apartado b del artículo 45.5, debe señalarse que, a tenor del relato de hechos probados, el denunciante formuló reclamaciones en las que solicitó la copia del contrato, en fechas 10 y 28 de noviembre de 2011 (hecho probado décimo). Con posterioridad a esta fecha GALP emitió al denunciante dos facturas (de fechas 21 y 23 de diciembre de 2011). No obstante, la emisión de la segunda factura estuvo motivada por la intención de liquidar la deuda derivada del consumo de gas, pues con fecha 21 de diciembre de 2011, cumpliendo la voluntad del denunciante, le dio de baja en el servicio activado a su nombre y sin su consentimiento. En este sentido se comprueba que la factura girada el 21 de diciembre, por importe de 49,08 € abarca el tiempo de facturación comprendido entre el 21 de octubre y el 15 de diciembre de 2011, en tanto la factura de 23 de diciembre, por importe de 0,47 € abarca el periodo de facturación comprendido entre el 15 y el 21 de diciembre, es decir, no cumple íntegramente el siguiente periodo de facturación y todo indica que persigue liquidar la deuda pendiente generada por el consumo. Estas razones aconsejan apreciar a favor de GALP la atenuante privilegiada del artículo 45.5.
20. b)LOPD. Corresponde, por tanto, aplicar el efecto jurídico previsto en el artículo 45.5 LOPD. Del juego de este precepto y del artículo 45.2, al tener la infracción imputada la consideración de infracción grave, procede aplicar la escala prevista en el artículo 45.1 para las infracciones leves, de manera que la sanción a imponer deberá oscilar entre 900€ y 40.000€.>> Por último, en su alegación cuarta, la recurrente expone que “De forma reiterada en los diferentes pronunciamientos de la Agencia, en el presente procedimiento, se afirma que el logo de las facturas es el denominado GALP (…) y que quien contrata es Madrileña Suministro de Gas”. (El subrayado es de la AEPD). Tras lo cual la entidad ofrece una explicación de lo que el “logo denominado GALP” representa. Estas consideraciones no vienen al caso y no hay razón alguna que las justifique, como explicaremos seguidamente. Así, no hay un solo párrafo en la resolución que se impugna en el que se haga tal comentario. En ningún caso se menciona o cita “el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 logo de las facturas”, ni menos aun que éste sea de “GALP”. Las únicas referencias, que no comentarios pues se trata de describir documentos, que se hacen en la resolución y que no tienen ninguna semejanza con las que refiere la recurrente son las recogidas en el hecho probado cuarto de la resolución, apartados A), B), y C), que versan, respectivamente, sobre el “Contrato de Servicios”, “Contrato de gas natural” y “Solicitudes. Carta al Distribuidor”-. En estos apartados se describen esos documentos y se dice textualmente (en los tres casos es el mismo párrafo) lo siguiente: <<en formulario con el signo distintivo y la indicación “Galp Energía, madrileña de gas”. En el lateral del documento consta Madrileña de Gas, S.L. , así como el CIF y el domicilio social de la entidad>> IV Por lo tanto, en el presente recurso de reposición, habida cuenta de que MADRILEÑA SUMINISTRO DE GAS, S.L. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada se considera procedente la desestimación del citado recurso. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por MADRILEÑA SUMINISTRO DE GAS, S.L., contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 13 de junio de 2013, en el procedimiento sancionador PS/00727/2012. SEGUNDO: NOTIFICAR la presente resolución a la entidad MADRILEÑA SUMINISTRO DE GAS, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es