1/8 Expediente Nº: E/02157/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ESPAÑA, S.A.U., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 23 de marzo de 2018, tuvo entrada en esta Agencia escrito remitido por Don A.A.A. (en lo sucesivo el denunciante) en el que indica lo siguiente: que se han incluido sus datos en el fichero Badexcug por una deuda de 274,76 euros a instancias de Vodafone. La información ha sido consultada por distintas entidades. Tras ejercer el derecho de acceso ante esa compañía, se presentó una reclamación ante la Agencia Española de Protección de Datos. Tras la tramitación de la tutela se advierte que los datos facilitados corresponden a un domicilio que no es el suyo; además no se aportaron las grabaciones telefónicas de la contratación. Denuncia el tratamiento de datos sin su consentimiento, así como la inclusión indebida en un fichero de solvencia patrimonial y crédito. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de las actuaciones previas de investigación E/02157/2018 para el esclarecimiento de los hechos. En fecha 31 de mayo de 2018, el representante de Vodafone España, SAU, contestó el requerimiento de información realizado, exponiendo que consta que el día 22 de septiembre de 2013, el reclamante había dado de alta la línea ***TELEFONO.1, que se dio de baja provisionalmente el 20 de mayo de 2014, y de forma definitiva se la dio de baja el día 18 de septiembre de 2014. Se generaron tres facturas, cuyo importe suma 274,76 euros, y ya se han anulado. Acompañan un CD con la grabación, en la cual se facilita nombre, apellidos, DNI y correo electrónico. La contratación fue confirmada por una tercera empresa de verificación, Digitel Documentos, S.L. Por último, indican que los datos del denunciante fueron incluidos en el fichero Badexcug en fecha 27 de abril de 2014 y excluidos el 28 de enero de 2018. En el fichero Asnef fueron dados de alta el día 3 de abril de 2014 y dados de baja el 4 de noviembre de 2014. TERCERO: En fecha 5 de febrero de 2019, el denunciante requirió información acerca de la denuncia presentada el 23 de marzo de 2018. En fecha 22 de mayo de 2019, los representantes legales del denunciante solicitan información sobre la denuncia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos denunciados se produjeron estando en vigor la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter personal. La Disposición transitoria tercera de la LOPDGDD establece el Régimen transitorio de los procedimientos, señalando lo siguiente: “1. Los procedimientos ya iniciados a la entrada en vigor de esta ley orgánica se regirán por la normativa anterior, salvo que esta ley orgánica contenga disposiciones más favorables para el interesado. 2. Lo dispuesto en el apartado anterior será asimismo de aplicación a los procedimientos respecto de los cuales ya se hubieren iniciado las actuaciones previas a las que se refiere la Sección 2.ª del Capítulo III del Título IX del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre.” Corresponde indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos en la denuncia. La LOPD consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Entre los principios de protección de datos a los que la LOPD dedica el Título II figura el de exactitud o veracidad, manifestación del principio de calidad de los datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 que se recoge en su artículo 4.3, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 establece en sus apartados 2 y 4, respectivamente: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Por otra parte, el Reglamento de Desarrollo de la LOPD, aprobado por el R.D. 1720/2007, de 21 de diciembre, (en lo sucesivo RLOPD), en su artículo 38 y bajo la rúbrica “Requisitos para la inclusión de los datos” dispone: “1. Solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).” La infracción de los principios del consentimiento y de calidad de los datos se tipifica como infracción grave en el artículo 44.3. de la LOPD en los siguientes términos: “Son infracciones graves: (….)
- b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
- c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Nuestro Derecho administrativo sancionador está presidido por el principio de culpabilidad, que impide imponer sanciones fundadas en la responsabilidad objetiva del presunto infractor, de tal modo que el nacimiento de responsabilidad sancionadora presupone la concurrencia del elemento subjetivo de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca responsabilidad sancionadora ha sido confirmada por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible para imponerla la concurrencia de este elemento. A su vez, la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Conforme a tal precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en este último caso, incluso, la mera inobservancia del deber de cuidado. En la Sentencia de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) manifiesta que “....el ilícito administrativo previsto en el artículo 44.3.
- d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve.” (El subrayado es de la AEPD) III La presente denuncia versa sobre el tratamiento de los datos personales del afectado (nombre, apellidos y NIF) efectuado por VODAFONE sin su consentimiento y concretado en haber dado de alta a su nombre un contrato de telefonía para la línea número ***TELEFONO.1. La denuncia versa también sobre la inclusión de sus datos personales en un fichero de solvencia patrimonial y crédito, informados por VODAFONE, por una deuda derivada del servicio contratado a su nombre a la que el afectado era ajeno. En prueba del tratamiento de los datos personales del denunciante que VODAFONE realizó cabe mencionar las impresiones de pantalla de sus ficheros que ha facilitado a la Agencia en el curso de las Actuaciones de Investigación –nos remitimos en tal sentido al resultado de esas actuaciones de investigación que se detalla en el Hecho Segundo de la resolución-. A través de los documentos mencionados constatamos que en los sistemas de VODAFONE estaban registrados el NIF, nombre y dos apellidos del afectado como titular de un servicio telefónico y que el domicilio que se le atribuye radicaba en diferente calle a la del reclamante. Resulta por ello un hecho incontrovertido que los datos personales del denunciante (NIF, nombre y dos apellidos) fueron objeto de tratamiento por VODAFONE sin legitimación para ello y además fueron incluidos en el fichero de solvencia BADEXCUG asociados a una deuda que no le pertenecía; de modo que tal inclusión no cumplía el requisito del artículo 38.1.a, del RLOPD, pues la deuda no era C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 cierta respecto al denunciante. En definitiva, a tenor de los hechos probados se concluye que la actuación de VODAFONE fue antijurídica, pues ambas conductas –la incorporación a sus registros y el tratamiento de los datos del afectado y la posterior comunicación de aquellos, asociados a una deuda que no le pertenecía, a un fichero de morosidad- son contrarias a las exigencias que imponen los artículo 6 y 4.3, en relación con el 29.4 de la LOPD y en relación con el artículo 38.1.a, del RLOPD. VODAFONE trató los datos personales del denunciante careciendo de legitimación para ello y los incluyó en un fichero de solvencia incumpliendo los requisitos a los que la normativa de protección de datos supedita la legalidad de esa comunicación. Dicho lo anterior, procede verificar si en relación a tales conductas intervino culpa de la entidad denunciada o si omitió aquella diligencia que, atendidas las circunstancias del caso, estaba obligada a desplegar en el cumplimiento de las obligaciones impuestas por la LOPD y que, como se ha indicado anteriormente, es imprescindible para que las conductas descritas sean subsumibles en los tipos infractores de los artículos 44.3.
- b)y 44.3.
- c)LOPD. Sobre tal cuestión se ha de subrayar que -como se detalla en el Hecho Segundo de esta resolución- VODAFONE ha aportado diversos documentos que evidencian que obró diligentemente cuando procedió a dar de alta un contrato de telefonía móvil a nombre de la afectada. Ha facilitado una grabación de la conversación telefónica que mantuvo con la persona que proporcionó como suyos los datos personales del denunciante, prestó el consentimiento a la contratación del servicio de telefonía con VODAFONE y le facilitó como domicilio uno diferente al del denunciante. La grabación que se ha remitido a la AEPD por VODAFONE se efectuó, según declara la operadora, por la empresa verificadora independiente Digitel Documentos, S.L. En ella se ofrece la siguiente información: La fecha en la que tiene lugar, el 22/09/2013; la confirmación del cliente al teleoperador de su nombre, apellidos y NIF; se facilita también el código de solicitud asignado a la operación; autoriza a VODAFONE a enviarle órdenes de adeudo y facilita una dirección electrónica. La grabación del consentimiento a la portabilidad prestado por quien se identificó con los datos personales del denunciante se adecúa a las previsiones de la Circular 1/2009, de 16 de abril de 2009, de la Comisión del Mercado de las Telecomunicaciones, CMT (en la actualidad, Comisión Nacional de los Mercados y la Competencia, CNMC) por la que se introduce el consentimiento verbal con verificación por tercero en la contratación de servicios mayoristas regulados de comunicaciones fijas así como en las solicitudes de conservación de numeración. Respeta igualmente la modificación introducida en la Circular 1/2009 por la Circular 1/2012 sobre el contenido del cuestionario al que se debe responder. Conviene indicar también que la cláusula segunda de la Circular 1/2009, “Ámbito de aplicación y responsabilidad administrativa del operador beneficiario de la tramitación de solicitudes de servicios mayoristas regulados de comunicaciones fijas y/o portabilidad”, establece que el “operador beneficiario de servicios mayoristas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 regulados de comunicaciones fijas y/o portabilidad (en adelante, operador beneficiario) podrá iniciar la tramitación de una solicitud cuando haya recabado previamente el consentimiento verbal del abonado con verificación por tercero, siempre y cuando haya cumplido todas y cada una de las condiciones y plazos de la presente Circular.” Así las cosas, la documentación que obra en poder de esta Agencia aportada por VODAFONE muestra que esa operadora, con ocasión de la contratación telefónica celebrada con el tercero que suplantó la identidad del denunciante, desplegó la diligencia mínima que resultaba procedente atendidas las circunstancias del caso y el estado de la técnica, lo que nos impide apreciar en el presente caso la concurrencia de culpa o negligencia imputable a aquella, necesarias para poder exigir responsabilidad administrativa por una conducta que, en principio, es antijurídica. Traemos a colación por ser muy esclarecedoras las siguientes SSAN: La SAN de 26/04/2002 (Rec. 895/2009) expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la AEPD) También la SAN de 29/04/2010, en su Fundamento Jurídico sexto, a propósito de una contratación fraudulenta, indicó que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD). Por último, la SAN de 19/10/2018, en su Fundamento de Derecho cuarto ratifica lo ya señalado: “CUARTO. En el presente supuesto la entidad actora, a fin de acreditar dicho consentimiento en relación con la portabilidad de la línea de teléfono NUM000 , desde Vodafone, aporta una grabación de la contratación del citado número por una persona que se identifica con el nombre y apellidos del denunciante, con su D.N.I., dirección de correo electrónico, número de teléfono de contacto, número de teléfono a portar y que proporciona el ICC de la tarjeta SIM si bien, como domicilio, ofrece un número y calle distintos a los del domicilio de dicho denunciante (si bien ambos en Las Palmas de Gran Canaria). Se adjunta además por dicha entidad Orange, una segunda grabación en la que constan idénticos datos personales a los de la anterior y a través de la que se procede a la verificación de la portabilidad solicitada. La resolución de la AEPD impugnada no hace la más mínima alusión a la Circular 1/2009 y únicamente alude, escuetamente, a que no toma en consideración las grabaciones sonoras porque "la única persona que se identifica es la que dice ser el solicitante de la contratación, no se identifica la voz femenina y no hace contestar el nombre de la empresa de servicios contratada por Jazztel para dicha verificación". Contrariamente a dicha argumentación, de la audición de los CDs aportados como complemento de expediente a instancia de la entidad de telefonía actora, esta Sala Considera que tienen la suficiente calidad para permitir entender a la verificadora, que informa llamar en nombre de Jazztel, y al cliente, así como que este último responde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 afirmativamente a las preguntas efectuadas por aquella. Cabe destacar que al inicio de la grabación se indica la razón de la misma, se verifica la fecha y hora en que se efectúa, se informa que la conversación está siendo grabada y que si está conforme con ello, se informa al solicitante del código identificativo de la solicitud y se confirman sus datos personales (nombre y apellidos, DNI y domicilio). Se hacen asimismo constar los datos del operador con el que causará alta conservando su numeración, con el que causará baja, el ID o número de la tarjeta SIM, el momento deseado para portar y que el abonado deberá comunicar su deseo de causar baja y prestar consentimiento para que el operador receptor realice las gestiones necesarias, respondiendo en sentido positivo en todas las ocasiones. Figura asimismo la cláusula de prestación de consentimiento para la portabilidad y se le informa de que recibirá por correo la confirmación escrita de dicha gestión. La Circular 1/2009, de la Comisión del Mercado de las Telecomunicaciones, por la que se introduce el consentimiento verbal con verificación por tercero entre otras, en las solicitudes de portabilidad, resulta aplicable a la solicitud de portabilidad móvil que nos ocupa. En el caso de autos, del contenido de la citada grabación resulta que se ajusta plenamente a las condiciones estipuladas en la citada Circular 1/2009, de la CMT, lo que evidencia que la entidad recurrente ha actuado con la diligencia adecuada en la formalización de la relación contractual que servía de cobertura para el tratamiento de los datos del denunciante, observando las normas que regulan el consentimiento verbal en las solicitudes de portabilidad de líneas de telefonía móvil. Además, tal entidad recurrente, tan pronto tuvo conocimiento de que se había podido producir una posible suplantación de personalidad en la contratación de la línea móvil en cuestión, procedió a la anulación de las facturas emitidas y a excluir los datos de los ficheros de solvencia patrimonial y crédito. Por tanto, ningún reproche cabe hacer a la actuación de la recurrente en este ámbito sancionador, pues como ya se ha expuesto Orange Espagne SAU actuó con la diligencia exigible, tratando los datos del denunciante a partir de la apariencia de legitimidad de la contratación de la línea en cuestión que le otorgaba la grabación telefónica realizada, la cual cumplía todas las exigencias requeridas por la citada Circular 1/2009. En definitiva, no cabe apreciar culpabilidad en la actuación de la entidad recurrente, por lo que no puede ser sancionada ex artículo 130 LRJPAC por vulneración del principio del consentimiento ni tampoco, y en correlación, del principio de calidad de datos pues el requerimiento previo de pago se realizó en el domicilio que según la citada grabación telefónica correspondía al titular de la línea. Procede, en definitiva, siguiendo la doctrina de esta Sala y Sección de nuestras anteriores SSAN de 10/03/2015 (Rec. 134/15) y de 24/10/2014 (Rec. 27/14) dejar sin efecto las sanciones impuestas por las citadas infracciones.” En definitiva, por más que la conducta analizada pueda coincidir, a priori, con los tipos sancionadores previstos en la LOPD –por lo que aquí interesa, el artículo 44.3.b, en relación con la vulneración del artículo 6.1, y el artículo 44.3.c, en relación con la infracción del artículo 4.3- no es merecedora de reproche o sanción administrativa al no apreciarse en ella falta de diligencia de la denunciada. Se añade a lo ya expuesto que, con anterioridad a la interposición de esta denuncia, EXPERIAN dio de baja en el fichero BADEXCUG los datos del afectado. De conformidad con las reflexiones precedentes, habiéndose constado que VODAFONE actuó con una diligencia razonable y adoptó las medidas que las normas exigen para garantizar la identidad del contratante, está ausente el elemento subjetivo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 de la infracción, de forma que ninguna responsabilidad sancionadora deriva de los hechos que se someten a la valoración de este organismo debiendo acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a VODAFONE ESPAÑA, S.A.U. y a Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es