E-01899-2017

1/6 Expediente Nº: E/01899/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ESPAÑA, S.A.U., y en consideración a los siguientes, HECHOS PRIMERO: Con fecha 18/02/2016 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. B.B.B. en el que manifiesta que VODAFONE ESPAÑA, S.A.U., (en adelante, VODAFONE o la denunciada), entidad de la que niega haber sido cliente, le ha remitido una carta comunicándole el envío de un IPOD y pasados unos días le ha reclamado una deuda que no le pertenece. Aporta con el escrito de denuncia y con su respuesta a la petición de documentación adicional que le hizo la Inspección de Datos, copia de los documentos siguientes: - Dos escritos, con el anagrama de VODAFONE, firmados por Vodafone España, S.A.U. En uno de ellos, con fecha “noviembre de 2015”, le dan la bienvenida a la compañía, le agradecen la confianza depositada y le informan de que ha contratado por teléfono un Apple IPAD AIR 2 GOLD a pagar en 24 meses y una tarifa de internet móvil 6GB con compromiso de permanencia durante 12 meses. En el segundo de los escritos, de fecha 23/11/2015, le comunican que en esa fecha se ha efectuado la confirmación de la prestación del consentimiento verbal con verificación por tercero. - La denuncia que presentó en los Mossos d`Esquadra el 13/02/2016 en la que declara que alguna persona ha contratado dos líneas de telefonía haciéndose pasar por él. Que el 10/02/2016 recibió una carta de la empresa de telefonía móvil VODAFONE reclamándole un importe de 109,50 euros por las líneas de telefonía y por la adquisición de un IPAD AIR 2 GOL. Que niega haber realizado el contrato con esa empresa. - Dos cartas de la empresa gestora de cobros I.S.G.F. Informes Comerciales, S.L., en las que, en nombre de VODAFONE, le reclaman una deuda pendiente: la de fecha 01/02/2016 una deuda de 109,50 euros y la de 18/02/2016 una deuda de 229,54 euros. - Una carta de I.S.G.F., de fecha 29/02/2016, en la que responde a la cancelación solicitada y le comunican que dan traslado de su solicitud a VODAFONE. En resolución de fecha 04/08/2017, la Directora de la Agencia Española de Protección de Datos acuerda el archivo de la denuncia presentada por D. B.B.B. (en lo sucesivo, el afectado), por caducidad de las actuaciones de investigación previa practicadas, y, habida cuenta de que la presunta infracción que se puso en conocimiento de esta Agencia no había prescrito, la apertura del expediente de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 investigación E/01899/2017 que nos ocupa. SEGUNDO: En el marco del E/01899/2017 la Inspección de Datos de la AEPD realizó las siguientes actuaciones: -Mediante Diligencia de fecha 23/10/2017 se hace constar la incorporación al expediente E/01899/2017 de las actuaciones de investigación efectuadas en el E/01199/2016. - De la respuesta de VODAFONE al requerimiento informativo que le hizo la Inspección de Datos en fecha 18/04/2016 se tiene conocimiento de los siguientes extremos: 1. El nombre de B.B.B. y su NIF, D.D.D., figura en los sistemas de VODAFONE como titular de una cuenta creada el 24/11/2015 a la que están asociados dos servicios: el de la línea A.A.A., portada de YOIGO, y el de la línea C.C.C., vinculado a su vez a un servicio de datos junto con un Ipad2. 2. Explica que ambos servicios fueron contratados a través de televenta el 23/11/2015 y que se encuentran desactivados temporalmente por falta de pago. 3. VODAFONE ha aportado, a fin de acreditar la contratación de los servicios, un CD con las grabaciones de los dos contratos efectuadas por una empresa verificadora independiente: Digitel Documentos, S.L., con CIF ***CIF.1 y domicilio en calle (C/...1). En las grabaciones de verifica que la persona que presta el consentimiento a los dos servicios facilita como suyos los datos personales del denunciante: NIF, nombre y dos apellidos. 4. VODAFONE ha informado de las características técnicas de los sistemas utilizados para garantizar la autenticidad, integridad y no alteración del contenido de la grabación. 5. Aporta un listado de las facturas emitidas a nombre del afectado. Un total de cuatro facturas. 6. Aporta una impresión de pantalla de sus sistemas informáticos relativa a la única reclamación que le consta efectuada por el interesado. En ella se hace referencia a un correo certificado firmado por él que entró en VODAFONE el 03/03/2016 en el cual el reclamante manifiesta que nunca ha tenido ningún contrato con VODAFONE ni ha recibido ningún terminal ni ha consentido la celebración de un contrato. Se indica que aporta copia de la denuncia presentada ante la Dirección General de la Policía de la Generalitat de Cataluña. En el apartado “Notas” existe esta indicación: “compruebo en sistemas hay grabación de voz en la que se le oferta la línea móvil y la línea de datos con el dispositivo Apple ipad…con pago aplazado. Se comprueba que con la línea C.C.C. hay consumo y con la línea A.A.A.”. - En escrito de 23/10/2017 se requiere a EXPERIAN BUREAU DE CRÉDITO, S.A., (EXPERIAN), para que facilite la información y documentación que consta en los ficheros de los que es responsable respecto al titular del NIF D.D.D.: a. Copia impresa de los datos que figuran en los ficheros BADEXCUG, Histórico de Actualizaciones de BADEXCUG, Notificaciones de BADEXCUG y Badexespacio, informados por VODAFONE. b. Copia impresa de los expedientes asociados al afectado que hubiera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 tramitado con motivo del ejercicio de los derechos de acceso o cancelación. EXPERIAN responde al requerimiento de la Inspección de Datos en escrito de fecha 10/11/2017 en el que manifiesta: -Respecto al fichero BADEXCUG “No figura ninguna operación impagada asociada al NIF indicado”. -Respecto al fichero de Notificaciones de BADEXCUG expone que “No figura, ni ha figurado ninguna operación impagada asociada al NIF indicado”. - Respecto al fichero BADEXESPACIO, afirma: “Búsqueda de los datos del afectado. No figura ningún expediente asociado a esta persona en la aplicación informática denominada “eSPaCio 6”, con que el Servicio de Protección al Consumidor de BADEXCUG gestiona las solicitudes de derechos”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III Hemos de indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos. La LOPD consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal (…) se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento…” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 El artículo 44.3.
2. b)de la citada Ley Orgánica tipifica como infracción grave la vulneración del artículo 6 de la LOPD, precepto que dispone: “Son infracciones graves: (…)
3. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV La conducta presuntamente contraria a la normativa de protección de datos de la que esta Agencia ha tenido conocimiento consistió en el tratamiento de los datos personales del afectado –su nombre, dos apellidos y su NIF- efectuado por VODAFONE sin su consentimiento. Tratamiento materializado en haber incorporado los datos del denunciante a sus ficheros en calidad de titular de dos contratos suscritos con ella y en la emisión a su nombre de cuatro facturas correspondientes a los servicios prestados. En la respuesta al requerimiento informativo de la Inspección de la AEPD VODAFONE ha explicado que el 23/11/2015, a través del servicio de televenta, se contrataron a nombre del afectado dos servicios: la línea A.A.A., portada de YOIGO, y el C.C.C., asociado a un servicio de datos junto con un Ipad2. Añade en su respuesta que en esa fecha ambos servicios se encuentran desactivados por falta de pago. Con el propósito de acreditar el origen de los datos tratados y su legitimación para el tratamiento, la denunciada ha remitido un CD con las grabaciones de dos contratos. La audición de las grabaciones permite verificar que quien presta el consentimiento a la contratación se identifica con el nombre, dos apellidos y el NIF del denunciante. Las grabaciones fueron realizadas por una empresa verificadora independiente, Digitel Documentos, S.L., con CIF ***CIF.1 , y domicilio en calle (C/...1). Además, VODAFONE también ha facilitado información sobre las características técnicas de los sistemas utilizados para garantizar la autenticidad, integridad y no alteración del contenido de la grabación. Sentado lo anterior, se ha de recordar que la responsabilidad sancionadora presupone la concurrencia del elemento subjetivo de la infracción, requisito esencial en tanto rige en nuestro Derecho sancionador el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE es imprescindible su existencia para imponerlas. La Ley 40/2015 de Régimen Jurídico del Sector Público dispone en su artículo 28, bajo la rúbrica “Responsabilidad”: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Como ha declarado reiteradamente la Audiencia Nacional, Sala de lo Contencioso Administrativo, la responsabilidad sancionadora puede exigirse tanto a título de dolo como de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. La Sentencia de 17/10/2007 (Rec. 63/2006) – dictada durante la vigencia de la Ley 30/1992 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, si bien es plenamente extrapolable al asunto que nos ocupa habida cuenta de los términos en los que está redactado el artículo 28.1 de la Ley 40/2015- afirma que “....el ilícito administrativo previsto en el artículo 44.3.
4. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) Ha quedado acreditado en el curso de la investigación previa que VODAFONE actuó, con ocasión de la contratación de los servicios por un tercero que facilitó como propio el NIF y el nombre y apellidos del afectado, con la diligencia que está obligada a desplegar por razón de la actividad empresarial que desarrolla, de constante manejo de datos de carácter personal. La diligencia observada en este caso por VODAFONE priva a su conducta del elemento de la culpabilidad, necesaria como hemos advertido para poder exigir responsabilidad administrativa por conductas que en principio son antijurídicas. Sobre este particular resultan muy esclarecedoras algunas Sentencias de la Audiencia Nacional a las que hacemos referencia. Así, la SAN de 26/04/2002 (Rec. 895/2009) en la que el Tribunal indica que “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la AEPD) También la SAN de 29/04/2010, que en su Fundamento Jurídico sexto, y a propósito de una contratación fraudulenta, subraya que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) Así las cosas, trasladando las reflexiones precedentes a los hechos que examinamos, se concluye que, pese a que la actuación de VODAFONE pudiera coincidir, a priori, con el tipo sancionador previsto en el artículo 44.3.
5. b)de la LOPD, referente a la vulneración del principio del consentimiento en el tratamiento de los datos personales (ex artículo 6.1 LOPD), no es merecedora de reproche o sanción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 administrativa al no estar presente el elemento de la culpa de la entidad. Constatado que VODAFONE actuó con una diligencia razonable y adoptó las medidas que la contratación exigía para garantizar la identidad del contratante, falta el elemento subjetivo de la infracción, de modo que ninguna responsabilidad sancionadora deriva de los hechos que se someten a la valoración de este organismo debiendo por ello acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a VODAFONE ESPAÑA, S.A.U., con NIF ***CIF.1 y a D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es