1/8 Expediente Nº: E/06951/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades Equifax Ibérica, S.L., Experian Bureau de Crédito, S.A., y Vodafone España, S.A.U., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 27 de octubre de 2013, tuvo entrada en esta Agencia un escrito remitido por por Don A.A.A., en el que declara que el 13/01/2011, ocho meses después de contratar el servicio de ADSL con Vodafone España, S.A.U., se da de baja del mismo como consecuencia de no recibir el servicio contratado y le cobran una penalización por un servicio que no ha recibido, cediendo sus datos a COLLECTA para la reclamación de la deuda e incluyéndole en el fichero BADEXCUG. Aporta copia de una resolución de la Secretaria de Estado para las Telecomunicaciones y la Sociedad de Información (SETSI), de fecha 11/11/2010, en la que se estima la reclamación del denunciante sobre un servicio de ADSL, reconociendo su derecho a solicitar la baja del contrato con carácter inmediato y a no abonar la facturación emitida durante el periodo que el servicio no fue prestado. Aporta también copia de las notificaciones de inclusión de sus datos en el fichero BADEXCUG, con fecha de altas el 07/08/2011 y el 28/07/2011, ambas incidencias informadas por VODAFONE. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 05/12/2013, se solicitó a Experian Bureau de Crédito, S.A., información relativa al afectado y de la respuesta recibida se desprende lo siguiente: - Respecto del fichero BADEXCUG: No consta información activa en el momento de realizar las comprobaciones. - Respecto del fichero de NOTIFICACIONES: Constan dos notificaciones enviadas a nombre del afectado como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad VODAFONE. Las notificaciones fueron emitidas con fechas 28/07/2011 y 09/08/2011, por una operación impagada de 111,99 euros. - Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Consta la operación impagada anterior con fecha de alta de 27/07/2011 y fecha de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 baja de 31/07/2011. La incidencia se volvió a dar de alta el 07/08/2011 y de baja el 04/09/2011. 2. Se ha comprobado que los datos del afectado no han sido incluidos en el fichero ASNEF. 3. Con fecha 26/11/2013, se requiere a VODAFONE para que aporte acreditación documental sobre los motivos que justifiquen la inclusión de los datos personales del afectado en los ficheros de solvencia, a pesar de la existencia de una Resolución de la SETSI. Se ha adjuntado al requerimiento de información emitido por esta Agencia la documentación de la reclamación ante la SETSI aportada por el denunciante, así como las notificaciones de inclusión en el fichero de solvencia. A este respecto VODAFONE ha indicado que las causas de la inclusión fueron el impago de las facturas de febrero y abril de 2011, manifestando que corresponden a servicios de telefonía móvil (no fijos ni ADSL). Aportan copia de las facturas de fechas 05/02/2011 y 05/04/2011 en las cuales se aprecia que corresponden a telefonía móvil y el importe acumulado de 111,99 euros. VODAFONE manifiesta en concreto lo siguiente: “Es importante destacar que en la factura de fecha 5 de febrero de 2011 consta consumo efectivo del servicio de telecomunicaciones que tenía contratado como se desprende del listado de llamadas efectuadas. Como se desprende de las facturas las mismas sólo se refieren a servicios de móvil, no a ningún servicio de ADSL. A este respecto y tras analizar la documentación obrante en el expediente, así como en nuestros sistemas, y con el único fin de evitar confusiones por parte del denunciante, el Sr. A.A.A. ha interpuesto históricamente dos reclamaciones ante la SETSI, por un lado el expediente con número de referencia RC*******1/10 con el asunto de referencia “Reclamación sobre acceso a internet” y el expediente RC*******/11/PVD con el asunto de referencia “Reclamación sobre Paquetes de Voz y Datos”. El Expediente RC*******1/10 se inició en el mes de noviembre del año 2010 (como se desprende del mismo) y finalizó por medio por medio de resolución de fecha 7 de octubre de 2011. Estos datos constan en la información que ha sido aportada por la Agencia en su requerimiento. Este expediente giraba en tomo a la contratación del servicio de ADSL. El servicio ADSL asociado al Sr. A.A.A. estuvo vinculado a la cuenta de cliente ***CTA.1, y asociado al número de teléfono B.B.B. (como la Agencia conoce todo servicio siempre es asociado por Vodafone a un número de teléfono móvil). Este servicio estuvo dado de alta entre el 10 de mayo de 2010 y el 28 de mayo de 2010 y no generó deuda alguna. De hecho la deuda de 111,99€ se generó con posterioridad al inicio de este expediente por lo que no tiene nada que ver con la misma. Por otro lado, consta el Expediente RC*******/11/PVD, el cual tuvo entrada en Vodafone el 25 de agosto de 2011 y cuya resolución, a día de la fecha del presente escrito, no consta como recibida en Vodafone. Ese expediente es el que se inicia y pone en duda la deuda acumulada por el Sr. A.A.A. entre los meses de febrero y abril de 2011 que ascendía a 111,99€ y la misma estaba C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 vinculada a dos servicios de telecomunicaciones móviles, sin vinculación alguna con la línea de ADSL. Es decir, de lo anterior se desprende que el Sr. A.A.A. tenía iniciados al mismo tiempo dos expedientes ante la SETSI por cuestiones de fondo que no tenían nada que ver entre sí y esto es algo que desconocemos por qué el Sr. A.A.A. no ha transmitido de manera correcta a la Agencia en su denuncia dado que resultaría obvio que no existe controversia en este caso. Ha sido sólo por la deuda de 111,99€ (generada por servicio de telefonía móvil, no el servicio ADSL), por la que Vodafone incluyó los datos del Sr. A.A.A. en el fichero de solvencia Badexcug el 27 de julio de 2011, es decir, antes de iniciarse el procedimiento iniciado ante la SETSI por parte del Sr. A.A.A. puesto que la primera noticia que tuvo Vodafone de dicho expediente tuvo lugar el 25 de agosto de 2011. Adjuntamos como documento n° 2 copia de imágenes donde consta que la primera noticia que tuvo Vodafone de este expediente RC*******2/11/PVD relacionado con la deuda por la que había sido incluido en el fichero de solvencia Badexcug en julio de 2011, fue el 25 de agosto de 2011. En ese momento, Vodafone analizó el caso y respondió a la SETSI diciendo que hacía un abono por las cantidades objeto de controversia (penalización por incumplimiento de compromiso de permanencia vinculado a los servicios móviles) dejando pendiente sólo aquella cantidad que no puede ser nunca objeto de controversia bajo ningún caso, como es la relativa al consumo efectivo y que aparece en las facturas (7€ aprox). Dicha respuesta fue enviada el 30 de agosto de 2011 a la SETSI siendo los datos del Sr. A.A.A. excluidos del fichero de solvencia Badexcug el 4 de septiembre de 2011 no habiéndose incluido posteriormente en el fichero Badexcug, por lo tanto, Vodafone en este sentido ha cumplido con la normativa de protección de datos puesto que incluyó los datos del Sr. A.A.A. en el fichero Badexcug (julio de 2011) antes de iniciarse el procedimiento ante la SETSI (agosto de 2011), por el que se ponía en duda por pnmera vez la veracidad de la deuda por la que fue incluido previamente en Badexcug habiendo Vodafone procedido a su exclusión tan pronto tuvo conocimiento de la existencia de ese procedimiento. Dadas las fechas en la que nos encontramos, Asnef no ha enviado información respecto al histórico de inclusiones y exclusiones en dicho fichero si alguna vez hubiera estado incluido en el mismo. Como conclusión, entiende Vodafone que el hecho de existir dos procedimientos independientes y solapados, unido al retraso en resolver los mismos por la propia SETSI es lo que ha llevado a la confusión y equívoco del propio Sr. A.A.A., habiendo Vodafone actuado en todo caso de conformidad con lo previsto en la LOPD. […] Vodafone excluyó los datos del Sr. A.A.A. del fichero de solvencia Badexcug el 4 de septiembre de 2013, es decir, cuando recibió y gestionó por primera vez la reclamación del Sr. A.A.A. relativo al asunto de la deuda (recepción el 25 de agosto de 2011, análisis y contestación a la SETSI el 30 de agosto de 2011 y exclusión de Badexcug siguiendo los procesos internos el 4 de septiembre de 2011).” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 4.3 de la LOPD dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La Directiva 95/46 CE del Parlamento Europeo y del Consejo, que traspone la LOPD, por su parte, establece en su artículo 6. I.
- d)que “Los Estados miembros dispondrán que los datos personales sean….
- d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que: “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: ”Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte, el artículo 37.1 y 3 del RLOPD establece que: “1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento. (…) 3. De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. De este modo, el artículo 38 del mismo Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
- b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…). 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Y el artículo 39 del RLOPD, sobre “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Antes de continuar con el análisis de los hechos, indicar que las sentencias del Tribunal Supremo sobre el RLOPD se desprende que los reproches al artículo 38.1.
- a)no se deben a su legalidad, digamos intrínseca, sino a la indeterminación de su dicción, porque la sentencia que se pronuncia sobre el recurso interpuesto de ASNEF-EQUIFAX, que es la que se reproduce en las restantes (y que es la única en que existe realmente estimación del recurso –en los otros casos la estimación es “por extensión”-) en este tema concreto manifiesta que el artículo 38.1.
- a)entiende que obviamente una deuda litigiosa no puede ser considerada “cierta” a los efectos de garantizar la calidad de los datos, pero que tal y como está expresado el artículo, cualquier reclamación, planteada por cualquiera de las partes implicadas en la relación contractual, y sobre cualquier aspecto, incluso cuando no afectase a esa “certeza” de la deuda, ampararía el no incluir el dato en el fichero. Es decir, lo litigioso sí debería impedir esa inclusión, pero sólo si afecta a la “certeza” de la deuda y la plantea el deudor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Teniendo en cuenta estos razonamientos, cumpliendo la sentencia, en realidad se cumpliría lo que dice con una eventual reforma o interpretación de este artículo al decir: Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada y respecto de cuya existencia o cuantía no haya entablado el deudor reclamación judicial, arbitral o administrativa. Resulta conveniente pues hacer una breve referencia a dicha STS de 15 de julio de 2010 que declara la nulidad, por ser disconforme a Derecho, del inciso último del artículo 38.1.
- a)del R.D. 1720/2007. El Fundamento de Derecho decimocuarto, en el que se examina y valora la impugnación del citado precepto, precisa cuáles son los términos de la controversia planteada en relación a éste. Manifiesta la STS que “procede indicar que la exigencia al inicio del apartado 1
- a)del artículo 38 de que la deuda sea “cierta” responde al principio de veracidad y exactitud recogido en el artículo 4.3 de la Ley 15/1999(…) Siendo el adjetivo <cierto> sinónimo de irrefutable, incontestable, indiscutible, etc,..el tema de debate se circunscribe a si es posible sostener con éxito que, en aquellos casos en que se hubiera entablado con respecto a la deuda un procedimiento de los expresados en el artículo 1
- a), puede hablarse de una deuda cierta antes de que recaiga resolución firme o se emita, en los supuestos previstos en el Reglamento de los Comisionados, el informe de correspondiente”. La Sala Tercera del TS contesta a esta pregunta indicando que lo relevante es “decidir si el apartado 1
- a)del artículo responde a la previsión legal del artículo 4.3, y la respuesta debe ser negativa en atención a la defectuosa redacción del precepto reglamentario por una inconcreción en su texto no sólo de aquellos procedimientos que justifican la no inclusión en los ficheros de las deuda a que aquellos se refieren, sino también porque esa vaguedad permite considerar que incluso cuando la reclamación se formule por el acreedor exista la imposibilidad de inclusión de los datos en el fichero”. Termina manifestando que el conflicto de intereses debe resolverse “exigiendo una mayor concreción en el precepto reglamentario que pondere los intereses en presencia en atención a las circunstancias concretas”. Del tenor literal de los fragmentos de la STS de 15 de julio de 2010 que se reproducen se evidencia, por una parte, como ya se ha indicado más arriba, que es la inconcreción del texto del último inciso del artículo 38.1.
- a)del RLOPD lo que justifica su anulación y por otra, que el Tribunal estima ajustada a Derecho la exigencia de este artículo 38.1.
- a)de que la deuda sea “cierta”, adjetivo que es sinónimo de irrefutable e indiscutible y que es consecuencia del principio de veracidad y exactitud que consagra el artículo 4.3 de la LOPD. A tenor de las consideraciones precedentes procede estimar que la impugnación de una deuda cuestionando su existencia o certeza, ante órganos administrativos, arbitrales o judiciales competentes para declarar la existencia o inexistencia de la misma a través de resoluciones de obligado cumplimiento para las partes, impedirá que pueda hablarse de una deuda cierta hasta que recaiga resolución firme; y por tanto, la inclusión de la misma en los ficheros de solvencia patrimonial y crédito. III Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales del denunciante son datos que figuran en sus propios ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que éste refleje con veracidad la situación actual del afectado” En este caso, VODAFONE incorporó a su sistema de información de clientes los datos del denunciante como titular de la línea de teléfono móvil B.B.B., dado de alta desde el 10 de mayo de 2010 hasta el 28 de mayo de 2010 y asociado al ADSL. Asimismo, informa la operadora que tenía dos servicios de telecomunicaciones, sin vinculación al ADSL, y que fueron usadas y generaron una deuda. El denunciante presentó dos reclamaciones a la SETSI. La inclusión de los datos del denunciante en el fichero de morosidad Badexcug tuvo lugar entre el 27 de julio de 2011 y el 4 de septiembre de 2011, fecha en que se dio de baja y no ha sido informado nuevamente. La denuncia del Sr. A.A.A. tuvo entrada en la Agencia el día 27 de octubre de 2013. En primer lugar debe ponerse de manifiesto que los posibles incumplimientos de la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal al respecto de la inclusión indebida de los datos personales del denunciante en el fichero Badexcug en el año 2011, se encontrarían prescrita, de acuerdo a lo establecido en artículo 47 de la LOPD, que, referido a la prescripción de las infracciones, nos dice: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.” El tratar datos de carácter personal conculcando el principio de calidad de datos se encuentra calificada como una infracción grave, de acuerdo a lo establecido en el artículo 44.3.
- c)de la LOPD, de ahí que, al haber transcurrido más de dos años desde C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 que se llevaran a cabo los hechos supuestamente infractores, que datan de septiembre de 2011 (fecha en que se excluyeron los datos del fichero Badexcug), al tiempo de la denuncia, los mismos se encontrarían prescritos. A ello hay que añadir que Vodafone, en este caso concreto, actuó con diligencia al excluir los datos del denunciante de forma rápida cuando tuvo conocimiento de la reclamación interpuesta ante la SETSI. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Vodafone España, S.A.U., y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es