Sentencia ADMINISTRATIVO Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 35/2018 de 15 de Febrero de 2019

Encabezamiento

A U D I E N C I A N A C I O N A L

Sala de lo Contencioso-Administrativo

SECCIÓN PRIMERA

Núm. de Recurso:0000035/2018

Tipo de Recurso:PROCEDIMIENTO ORDINARIO

Núm. Registro General:00280/2018

Demandante:GAS NATURAL SERVICIOS S.D.G S.A

Procurador:JUAN CARLOS GALVEZ HERMOSO DE MENDOZA

Demandado:AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS

Abogado Del Estado

Ponente IImo. Sr.:D. FERNANDO DE MATEO MENÉNDEZ

S E N T E N C I A Nº:

IImo. Sr. Presidente:

D. EDUARDO MENÉNDEZ REXACH

Ilmos. Sres. Magistrados:

Dª. LOURDES SANZ CALVO

D. FERNANDO DE MATEO MENÉNDEZ

Dª. NIEVES BUISAN GARCÍA

Madrid, a quince de febrero de dos mil diecinueve.

Vistos por la Sala, constituida por los Sres. Magistrados relacionados al margen, los autos del recurso contencioso-administrativo número 35/18, interpuesto por el Procurador de los Tribunales don Carlos Gálvez Hermoso de Mendoza, en nombre y representación deGAS NATURAL SERVICIOS, S.A.,contra la resolución de 16 de noviembre de 2017 de la Directora de la Agencia Española de Protección de Datos, por la que se le impone una sanción de 60.000 euros por una infracción del art. 6.1 de la Ley Orgánica 15/1999 , de 13 de diciembre, y otra de 50.000 euros por una infracción del art. 4.3 de la reseñada Ley, tipificadas como graves en los arts. 44.3.b ) y 44.3.c) de dicha norma . Ha sido parteLA ADMINISTRACIÓN DEL ESTADO, representada por el Abogado del Estado. La cuantía del recurso quedó fijada en 110.000 euros.

Antecedentes

PRIMERO.- Admitido el recurso y previos los oportunos trámites procedimentales, se confirió traslado a la parte actora para que, en el término de veinte días formalizara la demanda, lo que llevó a efecto mediante escrito presentado el 20 de marzo de 2018 que, tras exponer los hechos y fundamentos de derecho que estimó oportunos, terminó solicitando que se dictara sentencia estimatoria del recurso,'declarando la nulidad de pleno derecho de la citada resolución por inexistencia de infracción, dejando sin efecto la sanción impuesta y, de manera subsidiaria a lo anterior, acuerde no ha lugar a la imposición de dos sanciones atendiendo a lo dispuesto en el artículo 4.4 del Real Decreto 1398/2003 y gradúe la sanción a imponer atendiendo a lo dispuesto en el art. 45 apartados 4 y 5 de la LOPD '.

SEGUNDO.- Formalizada la demanda se dio traslado de la misma a la parte demandada para que la contestara en el plazo de veinte días, lo que realizó mediante el pertinente escrito, alegando los hechos y fundamentos jurídicos que estimó pertinentes, solicitando la desestimación del recurso, confirmando íntegramente la resolución impugnada por ser conforme a Derecho.

TERCERO.- Una vez contestada la demanda, se concedieron diez días a las partes para la formulación de conclusiones. Presentados los correspondientes escritos, quedaron los autos conclusos para sentencia, señalándose para votación y fallo el día 12 de febrero del presente año, fecha en que tuvo lugar.

SIENDO PONENTEel Magistrado Ilmo. Sr. Don FERNANDO DE MATEO MENÉNDEZ.

Fundamentos

PRIMERO.- La parte demandante impugna la resolución de 16 de noviembre de 2017 de la Directora de la Agencia Española de Protección de Datos, por la que se le impone una sanción de 60.000 euros por una infracción del art. 6.1 de la Ley Orgánica 15/1999 , de 13 de diciembre (en adelante LOPD), y otra de 50.000 euros por una infracción del art. 4.3 de la reseñada Ley, tipificadas como graves en los arts. 44.3.b ) y 44.3.c) de dicha norma , aplicable a la sazón

Los hechos por los que ha sido sancionada la parte actora, son por haber tratado datos de carácter personal de la denunciante sin su consentimiento en relación con la contratación de suministro de gas, así como por haberla incluido en el fichero de solvencia patrimonial Asnef.

SEGUNDO.- Alega, en síntesis, la parte actora, los siguientes motivos de impugnación: a) Que la contratación se efectuó por vía telefónica siguiendo la política de seguridad establecida al efecto; b) inexistencia de dolo, al tratarse de una suplantación de la persona que contrató el suministro de gas: c) vulneración del principio de proporcionalidad, al ser desproporcionada las cuantías de las sanciones impuestas, y d) de conformidad con el art. 4.4 del Real Decreto 1.398/2003 , se deben subsumir las dos infracciones imputadas en una.

La primera infracción por la que se sanciona a la parte demandante se encuentra recogida en el art. 44.3.b) de la LOPD , que establece como infracción grave:'Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo'.

Asimismo, el art. 6 de la LOPD establece en su apartado primero que'el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa'. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial.

El art. 3.h) de la LOPD define el 'consentimiento del interesado' como'toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen'.

El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia.

Ahora bien, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente'inequívoco'. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento.

Por otro lado, la carga de acreditar la existencia del'consentimiento inequívoco', a que hace referencia el art. 6.1 de la LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -).

La parte actora, aporta una grabación telefónica de contratación de suministro de gas, en la que se identifica los datos de la denunciante, facilitando los datos del punto de suministro en un domicilio de Seseña, propiedad de la denunciante, constando el deseo de contratar con la parte aquí actora.

Pues bien, no consta que la parte actora, haya adoptado las medidas adecuadas y eficaces que le permitiesen identificar inequívocamente al consumidor y usuario con el que celebró el contrato de suministro de gas, correspondiendo a aquella la acreditación del cumplimiento de los requisitos formales del contrato, de conformidad Real Decreto 1.906/1999, de 17 de diciembre, por el que se regula la contratación telefónica o electrónica, vigente a la sazón, en cuyo art. 5 se dispone:'1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y al momento de sus respectivos envíos, corresponde al predisponente.

2. A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aun cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes de la legislación aplicable...'.< o:p>

Debemos añadir que la denunciante formuló reclamación ante la parte actora el 15 de mayo de 2014, para denunciar que no había contratado este suministro y que los anteriores titulares del contrato e inquilinos, eran los que al parecer habían realizado la contratación telefónica aportando los datos del propietario. La denunciante solicitaba que se anulara el contrato y el impago a su nombre. El 21 de mayo de 2014 la sociedad recurrente,recibió escrito de la denunciante en el que indicaba que había contratado a su nombre sin su consentimiento, por lo que solicitaba que no se les reclamara la deuda. El 17 de junio de 2014, la denunciante se puso en contacto de nuevo con la entidad denunciada para informar de nuevo que no dio de alta el contrato. El 20 de junio de 2014, en el mismo sentido remitió la denunciante, un e-mail a la parte actora informando de la suplantación. El 25 de marzo de 2015 desde la Compañía se contactó con la denunciante, y se le indicó que, dado que disponían de locución contractual, por lo que no era posible desvincularla de la deuda pendiente.

Debe recordarse al respecto la gravedad de la falta de diligencia en que ha incurrido la compañía sancionada, al proceder al tratamiento de los datos personales del denunciante sin contar con su consentimiento, pues no ha justificado en modo alguno la razón por la que obraban en su poder, pese a recaer sobre aquella la carga de acreditar la existencia del consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal, que no consta, máxime, como ha quedado expuesto, la suplantación en la contratación se puso en conocimiento de la sociedad recurrente varias veces por la denunciante.

Por tanto, cabe apreciar la existencia de la infracción que estamos analizando, habiendo prueba suficiente de cargo para destruir la presunción de inocencia.

Una vez constatado que la parte demandante realizó la conducta infractora que estamos analizando, en el curso de este proceso no se ha puesto de manifiesto la concurrencia de circunstancias que permitan excluir la culpabilidad de la misma, y más teniendo en cuenta que se trata de una entidad a la que, por la habitualidad en utilización de esta modalidad de contratación telefónica, debe suponerse un adecuado conocimiento de los principios y garantías establecidos en nuestro ordenamiento para la celebración de esta clase de contratos. Elemento de la culpabilidad que en contra de lo invocado por la parte actora se encuentra suficientemente motivado en la resolución recurrida.

Es sabido que se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa o culposa ( art. 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público -). Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998 ,'... aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa'.

Ninguna de las circunstancias concurrentes en el caso que nos ocupa permite excluir este elemento subjetivo de la infracción, y menos aún afirmar que la entidad sancionada prestase la debida diligencia cuando tenía conocimiento de la suplantación de identidad de al denunciante varias veces por esta última. Por otro lado, en cuanto al hecho de que nos pudiésemos encontrar ante el fraude de un tercero, como dijimos en la Sentencia de 3 de octubre de 2013 -recurso nº. 54/2012 -:'Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento...'. En el mismo sentido, se pronuncia la Sentencia de 15 de abril de 2016 -recurso nº.225/2015 -.

Por tanto, cabe apreciar falta de diligencia en la actuación de la parte actora, sin que quepa apreciar falta de culpabilidad, habiendo prueba de cargo suficiente para desvirtuar la presunción de inocencia, por lo que se aprecia la existencia de la infracción que estamos analizando.

TERCERO.-La segunda infracción que se le imputa a la parte actora, se funda en la conculcación del art. 44.3.c) de la LOPD , que tipifica como infracción grave:'Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave'.

Por otro lado, el art. 4 .3 de la LOPD establece, dentro del principio de calidad de datos, la exigencia de la exactitud y veracidad de los datos:'Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado'.

Precepto que hay que conectar en el caso de autos, con el art. 29 de la citada Ley , que regula de forma específica la prestación de servicios de información sobre solvencia patrimonial y crédito, distingue dentro de ellos dos supuestos. Uno de los cuales es el relativo a los ficheros de solvencia patrimonial en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés, que se regulan en el apartado 2.

Estos ficheros se caracterizan porque no necesitan del consentimiento del afectado para la obtención y tratamiento de sus datos, lo que supone una excepción a los principios rectores de la LOPD (entre ellos el del consentimiento del afectado en el tratamiento y cesión de sus datos de carácter personal). No obstante, frente a esta excepción, la propia norma articula una serie de contrapesos, como es su limitación a un caso concreto (cumplimiento o incumplimiento de obligaciones dinerarias) y la obligación de notificar a los afectados el hecho de que se han registrado sus datos de carácter personal.

Por otra parte, el art. 38 del Reglamento de desarrollo de la Ley Orgánica de Protección de Datos (en lo sucesivo RLOPD), fija los'requisitos para la inclusión de los datos'en esos ficheros, precepto que ha sido impugnado en algunos de sus apartados ante el Tribunal Supremo, habiéndose dictado la Sentencia de dicho Tribunal de 15 de julio 2010 - recurso nº. 23/2008 - que anula entre otros apartados, por disconformes a derecho, el último inciso del art 38.1.a) y el apartado 2 del citado art. 38 del RLOPD.

La redacción del art. 38 del RLOPD, tras la aplicación de la citada Sentencia de 15 de julio de 2010 , es la siguiente:'1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:

a) Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada.

b) Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación.

c) Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.

2. El acreedor o quien actué por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo a que se refiere el artículo siguiente'.

Y el art. 39 del citado RLOPD, a su vez, dispone:'El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c) del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término prevenido para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias'.

Es decir, para la inclusión de los datos en ficheros de información sobre solvencia patrimonial y crédito, se requiere que la deuda sea cierta (al inicio del apartado 1.a) del art. 38, y que haya sido previamente requerida de pago, requerimiento previo que no concurre en el supuesto de autos en relación con la inclusión de los datos del denunciante en los ficheros de morosidad.

En el caso que nos ocupa, la parte actora incorporó a sus sistemas informáticos datos personales de la denunciante asociados a una contratación de suministro de gas, que no había contratado aquella. Posteriormente, dicha parte informó los datos personales de la denunciante al fichero de solvencia patrimonial Asnef en relación con una deuda que no era cierta, vencida y exigible, ya que la denunciante no contrató servicio alguno, por lo que cabe apreciar la existencia igualmente de dicha infracción.

Por lo demás, en cuanto a la existencia de culpabilidad de la parte actora, nos remitimos a lo expuesto en relación con la primera infracción analizada, insistiendo en que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que haya mediado la posible actuación fraudulenta de un tercero, pues la responsabilidad de la parte actora no deriva de la actuación de aquel, sino de la suya propia, y las infracciones analizadas traen causa, a su vez, de la celebración de un contrato sin las debidas cautelas y garantías, es independiente de la conducta presuntamente delictiva de un tercero.

Por lo que existe el elemento de culpabilidad en la infracción que estamos analizando, encontrándose suficientemente motivada la conducta infractora en la resolución recurrida.

CUARTO.-Por otra parte, considera la parte actora que existe un concurso de infracciones por concurrir el supuesto a que se refiere el art. 4.4 del Real Decreto 1.398/1993, de 4 de agosto , por el que se aprueba el Reglamento para el ejercicio de la potestad sancionadora, y solicita se imponga sólo una de las dos sanciones.

El citado art. 4 del Real Decreto 1.398/1993, de 4 de agosto , ya derogado, disponía:'En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida'. Por su parte, el vigente art. 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público , establece que:'Cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida'.

La Sentencia del Tribunal Supremo de 8 de febrero de 1999 -recurso nº.9/1996 - interpreta dicho precepto en el sentido que,'exige para la aplicación del concurso medial, una necesaria derivación de unas infracciones respecto de las demás y viceversa, por lo que es indispensable que las unas no puedan cometerse sin ejecutar las otras'.

Sin embargo, en el caso de autos de acuerdo con el criterio reiterado de la Sala en supuestos similares, no cabe apreciar el citado precepto al no concurrir los presupuestos establecidos para ello, por cuanto el tratamiento de datos del afectado sin su consentimiento pudo llevarse a cabo sin necesidad de comunicar sus datos a ficheros de solvencia patrimonial, tratándose en definitiva de dos infracciones distintas e independientes.

Por tanto, procede desestimar este motivo de impugnación.

QUINTO.- Finalmente, la pare actora invoca la vulneración del principio de proporcionalidad, al ser desproporcionada la cuantía de las sanciones impuestas, por lo que de conformidad con los apartados 4 y 5 del art. 45 de la LOPD , procedería considerar las infracciones de carácter leve.

El principio de proporcionalidad de las sanciones comporta, según reiterada jurisprudencia del Tribunal Supremo, como la Sentencia de 12 de abril de 2012 -recurso nº. 5149/2009 -, entre otras, que debe existir una debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, como dispone el número 3 del art. 131 de la Ley 30/1992, de 26 de noviembre .

Dicho principio no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras.

Pues bien, de conformidad con las consideraciones expuestas acerca de la proporcionalidad existente entre las sanciones impuestas y la gravedad de la infracciones sancionadas atendidas las circunstancias concurrentes en el presente caso, estima la Sala que la resolución sancionadora no ha infringido el principio de proporcionalidad en la determinación de la sanciones impuestas, que resulta ponderada y proporcionada a la gravedad de las infracciones cometidas y la entidad de los hechos, sin que se aprecien razones que justifiquen su minoración, debiendo simplemente señalarse que en cuanto a la ausencia de intencionalidad, que las infracciones apreciadas se pueden cometer de forma culposa, y que en este caso la falta de diligencia de la parte recurrente ha sido clara, como ya se ha expuesto. Por otra parte, respecto a la ausencia de beneficio, no existe tal ausencia pues la conducta sancionada lo que pretendió es la contratación de un nuevo suministro de gas, lo que generaría, supuestamente, beneficios económicos para la empresa ahora recurrente. Finalmente, en relación con la ausencia de perjuicios a la denunciante, resulta difícil hablar de inexistencia de perjuicios a la denunciante, desde el momento en que se le facturan unos servicios que no se había contratado, y le incorporan sus datos personales a un fichero de solvencia personal desde el 11 de enero al 2 de julio de 2016.

En consecuencia, procede desestimar el presente recurso contencioso-administrativo.

SEXTO.-A tenor del art. 139.1 de la Ley de la Jurisdicción procede imponer las costas procesales a la parte actora.

VISTOSlos artículos citados, y demás de general y pertinente aplicación.

Fallo

Que desestimando el recurso contencioso-administrativo interpuesto por el Procurador de los Tribunales don Carlos Gálvez Hermoso de Mendoza, en nombre y representación deGAS NATURAL SERVICIOS, S.A.,contra la resolución de 16 de noviembre de 2017 de la Directora de la Agencia Española de Protección de Datos, por la que se le impone una sanción de 60.000 euros por una infracción del art. 6.1 de la Ley Orgánica 15/1999 , de 13 de diciembre, y otra de 50.000 euros por una infracción del art. 4.3 de la reseñada Ley, tipificadas como graves en los arts. 44.3.b ) y 44.3.c) de dicha norma , declaramos la citada resolución conforme a derecho; con expresa imposición de las costas procesales a la parte actora.

La presente sentencia es susceptible de recurso de casación, que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el art. 89.2 de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.

Así, por esta nuestra Sentencia, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior Sentencia en audiencia pública. Doy fe. Madrid a

LA LETRADA DE LA ADMINISTRACIÓN DE JUSTICIA.