1/9 Expediente Nº: E/00607/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ESPAÑA, S.A.U., en virtud de denuncia presentada por Don B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 8 de noviembre de 2013, tuvo entrada en esta Agencia un escrito remitido por Don B.B.B., en el que declara que, tras solicitar fehaciente la baja de todos los servicios, VODAFONE continuó emitiéndole facturas, incluyéndole posteriormente en ficheros de solvencia. Adicionalmente, descubrió que la entidad le estaba facturando por servicios que no había contratado, emitiéndole tres facturas mensuales. Aporta copia de la siguiente documentación: - Contratos, de fecha 9 de febrero de 2011, suscritos por el denunciante con VODAFONE por los servicios de la línea D.D.D., C.C.C. y F.F.F.. - Escrito, de fecha 12 de abril de 2013, remitido por el denunciante a VODAFONE mediante el que solicita la baja de todos los servicios a partir del día 15 de abril de 2012 con motivo de su marcha al extranjero. Aporta acuse de recibo de fecha 15 de abril de 2013. - Escrito de fecha 20 de noviembre de 2013 por el que VODAFONE reclama al denunciante una deuda por importe de 163,38 €. - Escrito de fecha 26 de noviembre de 2013 por el que se informa al denunciante de su inclusión en el fichero BADEXCUG a instancias de VODAFONE por una deuda de 163,38 €. - Escrito de fecha 5 de diciembre de 2013 por el que se informa al denunciante de su inclusión en el fichero ASNEF a instancias de VODAFONE por una deuda de 163,38 €. - Extracto bancario, fechado el día 3 de diciembre de 2013, por el cual acredita el denunciante la recepción de tres cargos al mes de recibos de VODAFONE en un periodo prolongado de tiempo (desde febrero de 2011 hasta marzo de 2013). - Escrito de fecha 3 de enero de 2014 por el cual VODAFONE da respuesta a una solicitud del denunciante de ejercicio del derecho de cancelación, informándole que no puede proceder a dicha cancelación en tanto no satisfaga la deuda pendiente. Adjunta la entidad copia de las facturas pendientes, Fecha C/ Jorge Juan, 6 28001 – Madrid Importe Fecha Importe 08/05/2013 42,35 08/05/2013 21,65 08/06/2013 30,07 08/06/2013 14,24 www.agpd.es sedeagpd.gob.es 2/9 08/07/2013 20,00 08/08/2013 20,00 08/09/2013 43,96 08/10/2013 143,38 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 11 de julio de 2014 se solicita a EQUIFAX IBERICA, SL información relativa a Don B.B.B. y de la respuesta recibida se desprende lo siguiente: - Respecto del fichero ASNEF: No consta información respecto del denunciante. - Respecto del fichero de NOTIFICACIONES: Constan diez notificaciones emitida a nombre de Don B.B.B., siendo la entidad informante VODAFONE. La relación de las mismas es la siguiente: Deuda - Fecha carta Deuda Fecha carta 63,51 04/07/2013 63,51 25/07/2013 79,42 01 /08/2013 79,42 22/08/2013 83,51 21/09/2013 83,51 17/10/2013 163,38 05/12/2013 163,38 12/12/2013 163,38 22/02/2014 163,38 06/03/2014 Respecto del fichero de BAJAS: Constan cinco bajas asociadas a las notificaciones citadas en el apartado anterior para operaciones que a continuación se relacionan: Deuda F. alta-baja Motivo Vencim. Impagados 79,42 30/07/2013-27/08/2013 AMISTOSO 17/05/2013-18/06/2013 163,38 02/12/2013-11/01/2014 AMISTOSO 19/08/2013-18/10/2013 163,38 21/02/2014-19/03/2014 AMISTOSO 19/08/2013-18/10/2013 63,51 02/07/2013-31/07/2013 AMISTOSO 18/04/2013-18/06/2013 83,51 20/09/2013-11/01/2014 AMISTOSO 18/04/2013-18/07/2013 Con fecha 11 de julio de 2014 se solicita a EXPERIAN BUREAU DE CREDITO, SA información relativa a Don B.B.B., y de la respuesta recibida se desprende lo siguiente: - Respecto del fichero BADEXCUG: No consta información. - Respecto del fichero de NOTIFICACIONES: Constan dos notificaciones enviadas a Don C/ Jorge Juan, 6 28001 – Madrid B.B.B. como consecuencia de la www.agpd.es sedeagpd.gob.es 3/9 inclusión de sus datos personales en el fichero BADEXCUG por la entidad VODAFONE. La notificaciones fueron emitidas con fecha 24/09/2013 y 26/11/2013, por deudas de 83.51 € y 163.38 € respectivamente. - Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Constan dos operaciones impagadas informadas por VODAFONE, siendo la primera con fecha de alta de 22/09/2013 y fecha de baja el 12/01/2014, en tanto que la segunda fue dada de alta con fecha 24/11/20 13, siendo dada de baja el 12/01/2014. 2. En fecha 17 de octubre de 2014, se realizó una visita de inspección a VODAFONE durante la cual se los inspectores de la Agencia solicitaron a los representantes de VODAFONE el acceso a los sistemas de información de la entidad, donde se realizaron las siguientes comprobaciones: a. Se realiza una consulta por el criterio de DNI: G.G.G.. Se verifica que constan tres líneas asociadas a ese DNI cuyo titular es D. A.A.A.. Los números de línea son: E.E.E. con fecha de alta 3/12/2010 y baja 13/3/2013. El motivo de la baja consta “sin explicar”. D.D.D. con fecha de alta 9/2/2011 y baja 3/6/2013. El motivo de la baja es por falta de pago. C.C.C. con fecha de alta 9/2/2011 y baja 29/8/2013. El motivo de la baja es por falta de pago. Todas las líneas han sido dadas de alta de forma presencial en distribuidor. b. Se realiza una consulta de las facturas emitidas para la línea E.E.E. y se comprueba que se han emitido desde 5/12/2010 hasta el 5/4/2013. Asimismo se comprueba que el cliente tiene abiertas tres cuentas en Vodafone asociadas a los tres números de teléfono citados, motivo por el que se le emiten tres facturas diferentes. Se observa que aparecen facturas de fechas 5/1/2011, 5/2/2011 y 5/3/2011 en las que se aprecian consumos. c. Se realiza una consulta en el sistema que gestiona la contabilidad asociada al cliente y se comprueba que se han emitido facturas desde el alta de cada una de las líneas, constando todas las facturas tienen consumos y han sido pagadas desde el enero de 2011 hasta mayo de 2013 en que devuelve la primera factura, en junio, agosto, septiembre también devuelve las facturas emitidas por Vodafone. 3. Los inspectores muestran a los representantes de la entidad la copia del documento aportado por el denunciante junto a su denuncia para acreditar la solicitud de baja en los servicios contratados con VODAFONE y que tiene como fecha de acuse de recibo por VODAFONE el día 15/4/2013. Los inspectores solicitan que justifiquen el motivo por el cual no han atendido la baja ya que, según consta en sus sistemas la baja de las tres líneas se ha producido por motivos diferentes a la solicitud del denunciante, quienes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 realizan las siguientes manifestaciones: Para poder dar de baja los servicios contratados con Vodafone, el cliente debe llamar por teléfono a la compañía donde se le informa que el procedimiento establecido es enviar un documento donde se especifique los servicios que desea dar de baja firmado por el titular de los mismos adjuntando copia del DNI a un número de fax o por correo electrónico. Todas las solicitudes de baja que vengan por una vía diferente de las dos anteriores, Vodafone no las atiende. Este procedimiento es conocido por todos los empleados de Vodafone en su plataforma (Red Planet). Vodafone no publicita el procedimiento establecido por la empresa para solicitar la baja en los servicios. Recaba impresión de pantalla de la plataforma Red Planet donde consta el procedimiento establecido para dar de baja los servicios. 4. Los representantes de VODAFONE realizan una búsqueda en el sistema donde se almacena toda la documentación asociada a sus clientes y se comprueba que consta un fax remitido por el denunciante a VODAFONE con fecha 25/4/2013 y que es el mismo documento que el que aporta el denunciante y que supuestamente remitió a Vodafone por correo certificado. Los representantes de VODAFONE manifiestan a la vista del documento que, dada la incongruencia de lo solicitado por el denunciante no pueden materializarlo ya que las bajas no se pueden solicitar con efectos retroactivos. Destacar que el denunciante solicita la baja de todos los servicios, sin detallar los mismos y a partir del 12/4/2012, sin embargo el documento lo remite por correo certificado y por fax en abril de 2013. Asimismo, entre la documentación consta que el denunciante en abril de 2013 ha solicitado móviles asociados a las líneas contratadas que conllevan compromiso de permanencia de 24 meses. Consta que ambos pedidos han sido realizados a través de internet, uno de los móviles ha sido entregado en la dirección solicitada por el cliente y el segundo devuelto. Las cartas donde le informa VODAFONE de las condiciones asociadas a la adquisición de los terminales han sido remitidas a su dirección de facturación. 5. Se recaba copia de una factura emitida en fecha 5/3/2013 correspondiente a la línea E.E.E. y se comprueba que la dirección de facturación coincide con la dirección de la facturación de las otras dos líneas. 6. Se accede al sistema de contactos y se realiza impresión de pantalla donde constan los contactos mantenidos con el denunciante. Se comprueba que Vodafone ha mantenido contactos con el denunciante al objeto de poder cobrar las facturas devueltas por su cliente. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia se concreta en que tras solicitar la baja en las líneas telefónicas contratadas, Vodafone continuó emitiendo facturas. El artículo 6.1 de la LOPD dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El citado precepto de la LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”, correspondiendo a Vodafone acreditar que cuenta con el consentimiento del denunciante para efectuar el tratamiento de sus datos personales. En el supuesto examinado ha quedado acreditado que Vodafone trató los datos personales del denunciante en relación con el contrato de telefonía de las tres líneas telefónicas contratadas, tras solicitar aquel la baja de esos servicios telefónicos. En base a lo expuesto en este fundamento de derecho, Vodafone habría C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 realizado un tratamiento de los datos personales del denunciante sin su consentimiento ya que lo habría revocado en el mes de abril de 2013 con efectos retroactivos desde el año anterior. En este sentido, hay que indicar que el consentimiento puede ser revocado en cualquier momento por el afectado, pero no tiene efectos retroactivos, de conformidad con el artículo 6.3 de la LOPD. No obstante, de la documentación obrante en el expediente consta que el denunciante continuó consumiendo en las líneas contratadas y abonó las facturas hasta el mes de mayo de 2013. Asimismo, consta que el denunciante solicitó móviles asociados a las líneas contratadas en el mes de abril de 2013, lo que conlleva un compromiso de permanencia de 24 meses. III El artículo 4 de la LOPD señala en su apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado” y en su apartado 4 prescribe: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan en todo momento a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En el presente caso, se ha comprobado que Vodafone incluyó en los ficheros Asnef y Badexcug los datos personales del denunciante, habiéndole requerido el pago de lo debido informándole de que en caso contrario sus datos serían incluidos en ficheros de solvencia patrimonial y crédito, como acredita la carta de Vodafone aportada por el propio denunciante junto con su escrito de denuncia.. La Audiencia Nacional estimó el recurso planteado por una operadora de telefonía a la cual había sancionado esta Agencia en un supuesto similar, SAN de 19 de julio de 2012, recurso 108/2011, en la que fundamenta lo siguiente: “Esta Sala no obstante, a pesar de dicha argumentación de la Agencia, y una vez valoradas las pruebas practicadas en las actuaciones (especialmente la documental del expediente administrativo), entiende que en el presente caso concurren una serie de circunstancias que conllevan que no pueda entenderse lesionado tal principio de consentimiento del artículo 6.1 LOPD. Y ello por considerar que sí ha existido, en el supuesto, un consentimiento tácito del afectado, tal y como alega la demanda, o más exactamente un consentimiento presunto, en cuanto el mismo se deduce de un comportamiento o conducta del afectado que implica aceptación de un determinado compromiso u obligación, teniendo en cuenta lo siguiente: Si bien el Sr. XXX sustenta su denuncia en que “nunca ha contratado una línea con dicha entidad (Telefónica Móviles) y tampoco le ha sido reclamada ninguna deuda ni comunicada la inclusión de sus datos en ficheros de morosos”. Se desprende no obstante de los hechos probados de la resolución, no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 desvirtuados mediante prueba alguna en contrario, que en el fichero de clientes de TME constaba el denunciante como titular de la línea XXXX desde el 10/11/04 y hasta el 26/08/05. Y figura igualmente en las actuaciones que la controvertida línea XXXXX, dio lugar a seis facturas (más una última por importe negativo de -44,50 euros) de fechas comprendidas entre el 01/12/04 y el 01/05/05, en todas las cuales figura como titular Don XXXXX, con su número de NIF, y como domicilio el de la
- c)XXXXXX. Resulta además que tres de dichas facturas fueron puntualmente pagadas por “ventanilla”, las cuales además reflejan la existencia de consumo, tanto de llamadas nacionales como de mensajes cortos. Es cierto que constituye doctrina reiterada y consolidada de esta Sala que, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la Ley, sólo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado. En el presente caso, sin embargo, y si bien es cierto que no existe acreditación de la contratación de la línea telefónica que la entidad actora argumenta que el denunciante suscribió con ella, en noviembre de 2004, existen sin embargo una serie de circunstancias específicas ( esencialmente la existencia de consumo telefónico y el pago puntual de las tres primeras facturas) que llevan a esta Sala al convencimiento de que el denunciante, a pesar de lo argumentado por él en la demanda, si había prestado su consentimiento para la contratación de la referida línea telefónica con dicha recurrente, a tenor de las circunstancias que se acaban de relatar. Por todo lo cual consideramos que la imputación de la infracción del artículo 6.1 LOPD no puede ser apreciada tal y como hemos sostenido, en similares supuestos, en nuestras anteriores SSAN 1-2-2006 (Rec. 250/2004), 21-1-2009 (Rec. 109/2008) 24-62010 (Rec. 619/2009) y 17-11-2010 (Rec. 729/2009). CUARTO. La segunda infracción imputada a Telefónica Móviles España SAU es la del Art. 4.3 LOPD a cuyo tenor: Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La razón de ser de dicho artículo 4.3 LOPD, tal y como esta Sala ha declarado con reiteración (SAN 1-10-09, Rec. 38/2009) y en relación con los principios de proporcionalidad y finalidad, que igualmente se contemplan en el mismo precepto, es la de garantizar y proteger la calidad de la información sometida a tratamiento (exacta y puesta al día) por la que debe velar quien recoge y trata datos de carácter personal. Requisitos de exactitud y veracidad establecidos en la repetida LOPD que son exigibles al titular del fichero o tratamiento, según deriva del propio artículo 4.3, no sólo en lo que atañe a la conservación de los datos personales en los propios ficheros, o a su comunicación a un fichero de solvencia patrimonial o crédito, sino también en cualquiera de las diversas fases o modos en los que puede manifestarse el tratamiento de los datos personales, teniendo en cuenta el concepto amplio que de tratamiento deriva del artículo 3.
- c)de la LOPD que comprende no solo la recogida, grabación o conservación de los datos, sino también la elaboración, modificación, bloqueo y cancelación, así como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias, y en cualquiera de dichas manifestaciones, se requiere la exactitud y veracidad de los datos personales por parte del responsable del fichero o tratamiento. Razona la resolución combatida que se ha comprobado que TME incluyó en los ficheros Asnef y Badexcug los datos personales de una persona que no ha acreditado que cuente con el consentimiento para su tratamiento, ni relación contractual que lo eximiera y que, por tanto, no le adeuda cantidad alguna, por lo que se aprecia la infracción del artículo 4 apartado 3 de la LOPD, por mantener en el fichero de clientes datos personales del denunciante que no se ajustan a su situación real y actual. La AEPD, por tanto, hace derivar dicha infracción del artículo 4.3 LOPD, directamente, de la comisión de la infracción del principio de consentimiento apreciada por la misma. En consecuencia, y precisamente por derivar esta segunda infracción imputada de la previa lesión del principio del articulo 6.1 LOPD, una vez acreditada a juicio de la Sala, la existencia de dicho consentimiento inequívoco por parte de TME, por concurrir un consentimiento tácito o presunto por parte del denunciante, tal y como se ha expuesto, procedente resulta también revocar dicha infracción del principio de calidad del dato apreciada por la Administración. Y ello dado que consideramos, contrariamente a lo razonado en la resolución combatida, y conforme a las circunstancias expuestas en el fundamento jurídico anterior, que como el supuesto de hecho y requisito esencial para apreciar el incumplimiento de dicho principio básico en materia de protección de datos (Art. 4.1 de la LOPD), es la inexactitud y/o falsedad del dato personal en cuestión, en el presente caso, una vez acreditada la relación contractual entre el denunciante y la compañía telefónica actora, necesariamente resulta que el dato de morosidad por los tres recibos mensuales impagados, derivados de dicha contratación y que TME hizo constar en los ficheros Asnef y Badexcug, no era ni incierto ni inexacto, por lo que también esta segunda infracción del principio de calidad del dato ha de ser rechazada por la Sala.” IV En resumen, se ha constatado que la solicitud de revocación del consentimiento no se efectuó de la forma establecida por Vodafone y además se solicitaba con carácter retroactivo. Asimismo, el denunciante solicitó en el mismo momento que pedía la baja con carácter retroactivo de un año, unos teléfonos móviles asociados a las líneas que tenía desde el año 2010 que tenían un compromiso de permanencia de 24 meses. No se advierte infracción de la normativa de protección de datos en la actuación de Vodafone. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: - PROCEDER AL ARCHIVO de las presentes actuaciones. - NOTIFICAR la presente Resolución a VODAFONE ESPAÑA, S.A.U., y a Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es