1/6 Expediente Nº: E/05135/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VODAFONE ESPAÑA, S.A.U., en virtud de la denuncia presentada por D.ª B.B.B. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 13/07/2016 tuvo entrada en el registro de la Agencia Española de Protección de Datos (AEPD) un escrito presentado el 11/07/2016, a través de correo administrativo, por D.ª B.B.B. (en lo sucesivo, la denunciante) en el que expone que VODAFONE ESPAÑA, S.A.U., (en adelante VODAFONE o la denunciada) ha incluido sus datos personales en el fichero de solvencia patrimonial BADEXCUG sin requerirle previamente el pago y añade que la deuda que la denunciada pretende cobrar es ilegítima pues corresponde a servicios no prestados. Acompaña a la denuncia una copia de los documentos siguientes: - Carta de Experian Bureau de Crédito, S.A. ( EXPERIAN), referenciada e individualizada a nombre de la denunciante, dirigida a la dirección calle A.A.A., notificándole su inclusión en BADEXCUG con fecha de alta 24/05/2016, por un saldo impagado de 166,59 euros, informada por VODAFONE. - Escrito dirigido a EXPERIAN, de fecha 30/05/2016, en el que la denunciante ejercita el derecho de cancelación de sus datos personales inscritos en BADEXCUG y resguardo del burofax de envío. - Certificación de entrega en fecha 02/06/2016 del burofax enviado por la denunciante el 30/05/2016 al Servicio de Protección al consumidor de EXPERIAN. - Carta de EXPERIAN a la denunciante de fecha de 03/06/2016 en la que, en respuesta a su solicitud para que cancele sus datos del fichero BADEXCUG, le comunica que no procede la cancelación al haber sido confirmados los datos por la entidad informante. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos denunciados teniendo conocimiento de los siguientes extremos: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa VODAFONE ESPAÑA SAU en su escrito de fecha de registro 10/01/2017 (número de registro ***REG.1) ha remitido la siguiente información pertinente a los efectos de la investigación: Copia impresa de los datos que figuran en los sistemas de VODAFONE ESPAÑA SAU relativos al denunciante. Entre los mismos consta como dirección del denunciante la calle de C.C.C.. Coincide con la facilitada por el denunciante a la Agencia y la que figura en su DNI. Copia de la carta sin referenciar y fechada a 19/04/2016 que remite la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 denunciada al denunciante a la dirección calle de C.C.C. en la que se reclama el pago de la deuda contraída por importe de 166,59 euros y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito de mantenerse la situación de impago en el plazo de 30 días naturales. En su escrito de respuesta a la solicitud de información expone que VODAFONE ESPAÑA SAU ha contratado a EXPERIAN BUREAU DE CRÉDITO, S.A. para la realización de los requerimientos de pago efectuados a sus clientes. Añade que no adjunta copia del contrato debido a que ya fue enviado con anterioridad a la AEPD en el marco del expediente E/01552/2015. Se adjunta dicho contrato a través de diligencia a este expediente. Copia del certificado de EXPERIAN BUREAU DE CRÉDITO, S.A. expedido a fecha 19/01/2017 que incluye los siguientes documentos: o Copia de la carta con referencia ***REF.1 y fechada a 19/04/2016 que se envía a la dirección calle de C.C.C. en la que se reclama el pago de la deuda contraída por importe de 166,59 euros. Esta carta coincide con la descrita anteriormente. o Copia de un documento con encabezamiento IMPRE LASER, S.L en el que, bajo el título “CARGA: 17/04/2016” figuran asociadas a la entidad VODAFONE ESPAÑA SAU notificaciones numeradas desde ***REF.2 hasta ***REF.3 dentro de un lote total de 33.761 notificaciones. El certificado expedido por EXPERIAN BUREAU DE CRÉDITO, S.A indica que este documento acredita la impresión de la notificación de referencia ***REF.1, ya que forma parte del rango especificado en el documento. o Copia del certificado expedido por CTI TECNOLOGÍA Y GESTIÓN, S.A, acreditativo del envío, a través del operador postal UNIPOST, de 33.761 requerimientos previos de pago correspondientes a la carga del día 17/04/2016, y que coinciden con los impresos por IMPRE-LASER, S.L. o Copia del documento acreditativo del gestor postal UNIPOST en el que figura la remisión de 33.761 cartas con fecha 19/04/2016 a nombre de EXPERIAN BUREAU DE CRÉDITO, S.A y validado por el gestor postal. o El certificado de EXPERIAN BUREAU DE CRÉDITO, S.A. certifica igualmente que no consta que el requerimiento de pago de referencia ***REF.1 haya sido devuelto.> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) establece: "Si de las actuaciones no se derivasen hechos susceptibles de motivar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso." II El artículo 4.3 de la LOPD dispone que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y reflejen en todo momento la situación actual de los afectados siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En relación con la prestación de servicios de información sobre solvencia patrimonial y crédito el artículo 29.4 de la LOPD indica que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. III El artículo 38.1 del Reglamento de la LOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial en relación con las obligaciones dinerarias a las que alude el artículo 29 de la LOPD, señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurra, por lo que ahora interesa, el siguiente requisito: “
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Por otra parte, el artículo 39 del RLOPD indica que “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias.” El Reglamento de desarrollo de la LOPD impone al “acreedor o quien actúe por su cuenta o interés” la obligación de “conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. El artículo 43.1 del RLOPD añade que “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 El criterio seguido, de manera uniforme, por la Audiencia Nacional, Sala de lo Contencioso Administrativo, respecto al alcance de la obligación que impone al responsable del fichero el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.c del RLOPD- es que éste debe estar en condiciones de acreditar que ha practicado el requerimiento previo de pago al deudor, utilizando para ello un medio que deje constancia efectiva de haberlo efectuado, y que tal requerimiento ha sido recibido por el destinatario. La Audiencia Nacional, en Sentencia de 24/01/2003 precisó que “ Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) IV La denunciante manifiesta que VODAFONE incluyó sus datos personales en el fichero de solvencia patrimonial BADEXCUG omitiendo la obligación impuesta por la normativa de protección de datos de requerirle el pago con carácter previo a tal inclusión y añade que la deuda informada al fichero es ilegítima toda vez que responde a servicios que no se prestaron. Con carácter preliminar hemos de indicar que la AEPD carece de competencia para pronunciarse sobre la existencia o inexistencia de la deuda que VODAFONE atribuye a la denunciante. La competencia de esta Agencia se circunscribe a velar por el cumplimiento de la normativa de protección de datos de carácter personal y, por lo que concierne al asunto que nos ocupa, a determinar si se cumplieron los requisitos establecidos legal y reglamentariamente para que la comunicación de datos personales de terceros (en el presente caso del denunciante) a los ficheros de morosidad sea ajustada a Derecho. La documentación que obra en el expediente acredita que VODAFONE informó a BADEXCUG los datos personales de la afectada con fecha de alta 22/05/2016. VODAFONE ha remitido a la Inspección de la AEPD copia de la carta personalizada, a nombre de la denunciante, y referenciada (***REF.1) que está fechada el 19/04/2016 en la que le requiere el pago de una deuda de 166,59 euros y le comunica que en caso de no atender el pago en el plazo de los 30 días siguientes sus datos podrán ser informados al fichero BADEXCUG. VODAFONE ha facilitado los documentos que permiten seguir la trazabilidad de la carta de requerimiento. En particular, un certificado expedido por Experian Bureau de Crédito, S.A., empresa con la que contrató el servicio de impresión y envío de requerimientos previos de pago, en el que hace constar que el requerimiento asociado al NIF de la denunciante estaba incluido en el fichero de requerimientos que recibió de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 VODAFONE el día 15/04/2016 y que fue procesado (fecha de carga) el17/04/2016. EXPERIAN explica que, con el consentimiento de VODAFONE, tiene subcontratos con terceras empresas (CTI TECNOLOGÍA Y GESTIÓN, S.A. e IMPRELASER, S.L) para la impresión y envío de las notificaciones de requerimientos de pago y que éstas se envían a través del operador postal UNIPOST. Añade que cada requerimiento tiene un número secuencial único que permite identificarlo, en este caso, ***REF.1. Aporta certificado de IMPRE-LASER acreditativo de la impresión de 33.761 cartas de requerimientos correspondientes a la carga de fecha 17/04/2016 de los que 22.036 requerimientos pertenecen a VODAFONE y facilita los números secuenciales inicial y final de dichos requerimientos entre los que se encuentra el asignado a la carta enviada a la denunciante. Se aporta copia del certificado expedido por UNIPOST del envío en fecha 19/04/2016 de la carga correspondiente al 17/04/2016. Por último, EXPERIAN –que presta también el servicio de gestión de devoluciones de requerimientos previosmanifiesta que no tiene constancia de que el requerimiento dirigido a la denunciante, con la referencia antes transcrita, hubiera sido devuelto. De la exposición precedente se evidencia que VODAFONE sí requirió al denunciante el pago de la deuda antes de comunicar sus datos al fichero BADEXCUG. En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no apreciarse en la conducta objeto de la denuncia incumplimiento de la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a VODAFONE ESPAÑA SAU y B.B.B.. a D.ª De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es