E-01900-2017

1/9 Expediente Nº: E/01900/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos en virtud de denuncia presentada por D.ª A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 04/05/2017 la Directora de la Agencia Española de Protección de Datos dictó resolución en el marco del expediente E/01097/2016 en la que acordó el archivo de la denuncia presentada por D.ª A.A.A. al haberse cumplido el plazo máximo fijado por el artículo 122.4 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), aprobado mediante Real Decreto 1720/2007 (RLOPD), para practicar actuaciones de investigación previa. Habida cuenta de que la presunta infracción comunicada a esta Agencia no había prescrito, se acordó asimismo la apertura de oficio de nuevas actuaciones de investigación a fin de determinar si los hechos denunciados vulneraban la normativa de protección de datos. D.ª A.A.A. denunció a VODAFONE ESPAÑA, S.A.U., (en lo sucesivo VODAFONE o la denunciada) por incluir sus datos personales en el fichero de solvencia patrimonial BADEXCUG estando pendiente de resolución la reclamación que presentó contra la denunciada ante la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información (SETSI) –en la actualidad Secretaría de Estado para la Sociedad de la Información y la Agenda Digital, SESIAD-. La denunciante aportó con la denuncia copia de una carta de Experian Bureau de Crédito, S.A., de fecha 26/01/2016, mediante la que le notifica la inclusión de sus datos en el fichero BADEXCUG, informados por VODAFONE, con fecha de alta 24/01/2016 por una deuda de 251,09 €, y del recibo del Registro electrónico de la SETSI de 26/08/2015 (referencia ***REF.1) relativo a la reclamación formulada contra la operadora. Posteriormente, en respuesta a la solicitud de esta Agencia para que subsanara la denuncia presentada, la afectada aportó copia de un segundo recibo del Registro electrónico de la SETSI referente a una reclamación posterior, de fecha 14/02/2016 (referencia ***REF.2). En el recibo se alude al expediente de referencia ***REF.3 y en el apartado “Estado expediente” consta lo siguiente: “Pendiente Informe Operador (Se ha trasladado al operador el contenido de su reclamación, solicitando a éste que informe de todos y cada uno de los extremos planteados por el reclamante…)”. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados: A. En primer término, mediante Diligencia se acordó la incorporación al expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 E/1900/2017 de las actuaciones de investigación practicadas en el expediente E/01097/2016. Actuaciones que consistieron en solicitar a la denunciante que aportara documentación adicional y en sendos requerimientos informativos dirigidos a VODAFONE y a Experian Bureau de Crédito, S.A. Estas entidades respondieron en escritos con entrada en el Registro de la AEPD, respectivamente, el 06/04/2016 y el 19/04/2016. 1. VODAFONE ESPAÑA, S.A.U., hizo las siguientes manifestaciones: - Que “incluyó los datos de la Sra. A.A.A. antes de recibir la primera reclamación oficial que ponía en duda la veracidad de la deuda, antes de esa fecha no constan reclamaciones oficiales en relación con la deuda asociada a aquella”. - “Que tal y como consta en nuestros sistemas Vodafone recibió el primer escrito oficial de la SETSI en relación con este caso, el 23 de marzo de 2016, fecha en la que comenzó con las gestiones pertinentes del caso. Adjuntamos como documento nº1 copia de una imagen donde consta reflejada la fecha de recepción del escrito procedente de la SETSI”. El documento consiste en una impresión de pantalla de los registros internos de la operadora con la leyenda “Registro telefónico 23/03/2016 19:17.22 8…) SETSI Se recibe reclamación por mail”. (El subrayado es de la AEPD) - “Que VODAFONE dio respuesta el mismo 23 de febrero de 2016… Adicionalmente, y siguiendo nuestros procesos internos de gestión de inclusiones y exclusiones en ficheros de solvencia, una vez recibida la reclamación oficial procedió a dar orden a BADEXCUG para su exclusión haciendo ocurrido ésta en fecha 31 de marzo de 2016” (El subrayado es de la denunciada) 2. Experian Bureau de Crédito, S.A., responsable del fichero BADEXCUG, en respuesta al requerimiento informativo de la AEPD aportó documentación que acredita los siguientes extremos: - Existe información relativa a una operación (nº ***OP.1) aportada por VODAFONE, asociada al NIF B.B.B. del que es titular la denunciante, que se dio de alta el 24/01/2016 y se dio de baja el 03/04/2016, por proceso automático semanal de actualización de datos ( Histórico de Actualizaciones de BADEXCUG). - Se tiene constancia de que en fecha 15/02/2016 la afectada solicitó mediante correo electrónico la cancelación de sus datos del fichero de solvencia. El mismo día, el servicio de protección al consumidor respondió a la afectada desestimando la cancelación por carecer de los requisitos legales: faltaba la copia del DNI y la firma de la titular de los datos. B. En el curso del E/1900/2017 se practicaron actuaciones ante la Secretaría de Estado para la Sociedad de la Información y la Agenda Digital (SESIAD). En fecha 04/10/2017 se solicitó que facilitara a la AEPD la siguiente documentación: “1. Copia de la notificación enviada a VODAFONE ESPAÑA, SAU en la que se le da traslado de la reclamación interpuesta por D.ª A.A.A. ante la SETSI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 mediante escrito de fecha 26/08/2015 con número de registro de entrada ***REF.1. 2. Copia de la documentación acreditativa de que la referida notificación fue entregada a VODAFONE ESPAÑA SAU (acuse de recibo o documento equivalente) en la que conste la fecha de entrega. 3. Copia del expediente tramitado ante esa Secretaría de Estado a raíz de la reclamación citada, de 26/08/2015, con número de registro ***REF.1. 4. Se solicita explicación sobre el curso que se dio a la citada reclamación presentada por la Sra. A.A.A.. 5. Copia del expediente tramitado a raíz de la reclamación presentada por D.ª A.A.A. ante la SETSI mediante escrito de fecha 14/02/2016 con número de registro de entrada ***REF.2.” La SESIAD respondió a la AEPD en escrito que tuvo entrada en este organismo el 23/10/2017 en el que manifestó que las reclamaciones a las que se alude en los puntos 3 y 5 del requerimiento informativo de la Inspección de Datos –esto es, a los escritos de reclamación presentadas por la afectada con registro de entrada en esa Secretaría de Estado ***REF.1 y ***REF.2- dieron lugar a un único expediente, el identificado con la referencia ***REF.3. La razón es que, como explica la SESIAD, la reclamación formulada por la denunciante en fecha 14/02/2016, con número de registro de entrada en la Secretaría de Estado ***REF.2, no determinó la apertura de un nuevo expediente, sino que se incluyó en el ya iniciado, el ***REF.3. La SESIAD remitió a esta Agencia copia completa del expediente ***REF.3, del que es titular A.A.A., que tramitó a raíz de la reclamación presentada el 26/08/2015, con número de registro ***REF.1, y a la que se vinculó una segunda reclamación de fecha 14/02/2016, con registro de entrada número ***REF.2. Los documentos que integran el expediente facilitado por la Secretaría de Estado son, según su propia relación, los siguientes:       “Escrito inicial de reclamación (26-08-2015). Oficio de comunicación apertura de expediente (31-08-2015). Petición de informe al operador (31-08-2015). En cuanto a la acreditación documental de la fecha en la que la Secretaría de Estado notificó a VODAFONE ESPAÑA, S.A.U., la reclamación efectuada por D.ª A.A.A., el operador no generó el acuse de recibo por lo que no disponemos de ella. (El subrayado es de la AEPD) Nuevo escrito del reclamante (05-02-2016). Nuevo escrito del reclamante (05-02-2016). Reiteración de petición de informe al operador fecha 10-02-2016. En este caso, tampoco se dispone de acuse de recibo de la notificación a VODAFONE ESPAÑA, S.A.U. No obstante, se dispone del informe, del que se adjunta copia, que el operador emitió al respecto en el que hace constar la recepción de la reclamación: 10/02/2016. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9       Nuevo escrito del reclamante (14-02-2016) Registro ***REF.2. Informe del operador de fecha 23-03-2016. Oficio traslado informe del operador (05-04-2016) Alegaciones del reclamante (13-04-2016) Nuevo escrito del reclamante (13-04-2016) Resolución (09-05-2016)” En el escrito de respuesta al requerimiento informativo de la Inspección, la SESIAD hace la siguiente afirmación: “ Como se observa, el operador no generó los correos electrónicos de “acuse de recibo” cuando se le requirió el informe sobre la reclamación. Por ello, no se dispone de acreditación de la recepción por el operador hasta la fecha de 10/02/2016, en que el propio operador reconoce haberla recibido.” (El subrayado es de la AEPD) FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 4 de la LOPD, bajo la rúbrica “Calidad de los datos” dispone en su apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. Por otra parte, el artículo 29 de la LOPD establece en sus apartados 2 y 4, respectivamente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD, se ocupa en el artículo 38 de los requisitos a los que se supedita la comunicación de datos de terceros a un fichero de solvencia patrimonial. El precepto, con la rúbrica “Requisitos para la inclusión de los datos” dice: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
2. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….)
3. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto sin aquélla fuera de vencimiento periódico.
4. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD). El artículo 43.1 del RLOPD precisa que “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Constituye una infracción grave tipificada en el artículo 44.3.
5. c)de la LOPD “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que la desarrollan, salvo cuando sea constitutivo de infracción muy grave”. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 La denuncia que nos ocupa versa sobre la inclusión de los datos personales de la denunciante en el fichero de solvencia BADEXCUG, comunicados por la operadora VODAFONE, cuando según lo manifestado por la titular de los datos aún estaba pendiente de resolución por la SETSI la reclamación que había interpuesto frente a VODAFONE. Corresponde por tanto examinar si la comunicación de sus datos al fichero común efectuada por VODAFONE con fecha de alta el 24/01/2016 se realizó cumpliendo los requisitos a los que el RLOPD supedita su legalidad. En particular, del requisito contemplado en el artículo 38.1.
6. a)del RLOPD, que versa sobre la necesidad de que la deuda informada a un fichero de solvencia sea cierta, vencida y exigible. Por lo que atañe a la disposición del artículo 38.1.a, del RLOPD, se ha de recordar que la STS de 15/07/2010 (Rec. 23/2008) declaró la nulidad, por ser disconforme a Derecho, del inciso último del precepto, habida cuenta de su excesiva amplitud. Al mismo tiempo, ratificó que la certeza de la deuda era un requisito previo a la inclusión de los datos personales en un fichero común y entendió que el adjetivo “cierto” que se predica de la deuda es sinónimo de “irrefutable” e “indiscutible”. Así las cosas, el criterio seguido en esta materia por la AEPD, criterio que la Sala de lo Contencioso Administrativo de la Audiencia Nacional ha venido confirmando sin discrepancia, es que la impugnación de una deuda cuestionando su existencia o certeza ante órganos administrativos, arbitrales o judiciales competentes para pronunciarse sobre dicha cuestión a través de resoluciones que sean de obligado cumplimiento para las partes, impide calificar la deuda como “cierta” en tanto no haya recaído resolución firme. V Los hechos que la Sra. A.A.A. somete a la valoración de esta Agencia entrañan a su juicio una infracción de la normativa de protección de datos concretada en que VODAFONE, existiendo una reclamación formulada por ella ante la entonces SETSI que se encontraba pendiente de resolución, incluyó sus datos personales en el fichero BADEXCUG. Aparentemente tal conducta supone que la entidad no cumplió el requisito exigido por el artículo 38.1.a, del RLOPD, pues la deuda informada no era cierta, en tanto estaba cuestionada ante un órgano –como la SESIAD, antes SETSI- con facultad para dictar resoluciones de cumplimiento obligado para las partes. La documentación que la denunciante aportó anexa a su denuncia parecía confirmar esa posibilidad. Así, la denunciante acreditó documentalmente que sus datos se dieron de alta en el fichero BADEXCUG, informados por VODAFONE, en fecha 24/01/2016, y que meses antes, exactamente el 26/08/2015 había presentado una reclamación ante la SETSI. Aportó a tal fin la copia de un recibo del Registro Electrónico en la citada Secretaría de Estado que prueba la presentación de su reclamación en esa fecha. Por su parte, VODAFONE, en el marco del E/01097/2016, en respuesta al requerimiento informativo de la Inspección de Datos, negó haber recibido ninguna C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 comunicación de la SETSI referente a una reclamación de la afectada anterior a la fecha de 24/01/2016, fecha alta de la incidencia en el fichero de morosidad. La operadora afirmó que la primera noticia que tuvo sobre la existencia de una reclamación de la afectada ante la SETSI la recibe el “23 de marzo de 2016”, comenzando en esa misma fecha a hacer las gestiones pertinentes y que el 31/03/2016 ordena a BADEXCUG la exclusión de sus datos del fichero de solvencia. Llegados a este punto resultaba determinante para la calificación jurídica de los hechos recabar de la SETSI la documentación que acreditara la fecha en la que VODAFONE supo que existía una reclamación contra ella que privaba de certeza a la deuda que reclamaba a la denunciante y que, por tanto, impedía su inclusión en los ficheros de solvencia. A tal fin en fecha 04/10/2017, en el marco del E/1900/2017 se solicitó información a la citada Secretaría de Estado. La SESIAD responde que, si bien había pedido informe a la operadora el 31/08/2015, en el marco del expediente ***REF.3, no podía aportar ningún documento que acreditara que el email a través del cual se hicieron entonces estas comunicaciones había sido recibido por VODAFONE. Explica que en fecha posterior, el 10/02/2016, se dirigió de nuevo a VODAFONE y le reitera su petición de informe respecto a los hechos objeto de la reclamación. Pero la SESIAD advierte que tampoco dispone en relación a este segundo requerimiento de información hecho a VODAFONE de algún documento que pudiera acreditar su recepción por la operadora destinataria. La documentación aportada por la SESIAD pone de manifiesto que hizo dos requerimientos a VODAFONE con los que le daba traslado de la reclamación presentada por la denunciante ( en fechas 31/08/2015 y 10/02/2016) pero que carecía respecto de ambos del acuse de recibo acreditativo de la recepción por VODAFONE. Ahora bien, la SESIAD indica que “No obstante, se dispone del informe, del que se adjunta copia, que el operador emitió al respecto en el que hace constar la recepción de la reclamación: 10/02/2016. (El subrayado es de la AEPD)” Examinado el informe que VODAFONE remitió a la SESIAD, que tiene fecha de 23/03/2016, se comprueba que la operadora en ningún caso afirma haber recibido el requerimiento en fecha 10/02/2016, como dice la SESIAD. Por el contrario, en su informe VODAFONE manifiesta lo siguiente: “Nos dirigimos a usted en respuesta a su escrito de fecha 10 de febrero de 2016, en el que se nos traslada una cuestión planteada por …” Así las cosas, se ignora la fecha en la cual VODAFONE recibe el requerimiento de la SESIAD, medio a través del cual pudo conocer que la deuda reclamada a la afectada había sido puesta en tela de juicio ante ese órgano. A la luz de la documentación recabada, y puesto que la SESIAD no dispone de documentos que acrediten la recepción, y, en su caso, la fecha en que la operadora denunciada recibió sus requerimientos informativos, únicamente se está en condiciones de afirmar que el 23/03/2016 VODAFONE conoció que existía una reclamación entablada contra ella por la denunciante ante la SETSI que ponía en tela de juicio la certeza de la deuda reclamada e impedía su comunicación a un fichero de solvencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 VODAFONE afirma en su escrito de respuesta a la AEPD que cuando incluyó los datos personales de la afectada en el fichero de solvencia no había recibido ningún requerimiento de la SETSI, por lo que ignoraba que existía una reclamación ante dicho organismo. Añade que “….tal y como consta en nuestros sistemas Vodafone recibió el primer escrito oficial de la SETSI en relación con este caso, el 23 de marzo de 2016, fecha en la que comenzó con las gestiones pertinentes del caso. Adjuntamos como documento nº1 copia de una imagen donde consta reflejada la fecha de recepción del escrito procedente de la SETSI”. El documento consiste en una impresión de pantalla de los registros internos de la operadora con la leyenda “Registro telefónico 23/03/2016 19:17.22 8…) SETSI Se recibe reclamación por mail”. La denunciada indica también que “(…) dio respuesta el mismo 23 de febrero de 2016…Adicionalmente, y siguiendo nuestros procesos internos de gestión de inclusiones y exclusiones en ficheros de solvencia, una vez recibida la reclamación oficial procedió a dar orden a BADEXCUG para su exclusión haciendo ocurrido ésta en fecha 31 de marzo de 2016” Ha quedado acreditado por la información facilitada por EXPERIAN que la incidencia que VODAFONE comunicó al fichero BADEXCUG se dio de baja el 03/04/2016. Por tanto en el plazo de diez días siguientes a la fecha en la que reconoce haber tenido noticia de que existía una reclamación ante la SETSI. Así pues, no obran en poder de esta Agencia pruebas ni indicios razonables que desvirtúen la presunción de inocencia de la que goza la denunciada. No es posible afirmar que antes de la fecha de alta de los datos de la afectada en el fichero de solvencia, (alta de 24/01/2016) VODAFONE hubiera tenido noticia de que existía una reclamación que ponía en tela de juicio la certeza de la deuda e impedía su inclusión en un fichero de solvencia patrimonial. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones por no apreciar en los hechos analizados indicios de infracción de la normativa de protección de datos de carácter personal. 2. NOTIFICAR la presente Resolución a VODAFONE ESPAÑA, S.A.U., y a D.ª A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos 99 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es