E-07562-2013

1/7 Expediente Nº: E/07562/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades EQUIFAX IBERICA, S.L. y VODAFONE ESPAÑA SAU en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de diciembre de 2013 el Director de la Agencia Española de Protección de Datos acordó estimar el recurso de reposición nº RR/00966/2013 interpuesto por Don A.A.A. contra la resolución de Archivo de la denuncia nº E/06467/2013 dictada con fecha 18 de noviembre de 2013, y ordenar a la Subdirección General de Inspección de Datos de la Agencia la realización de la correspondiente investigación en el marco de actuaciones previas de inspección E/007562/2013. En la citada denuncia, registrada de entrada en esta Agencia con fecha 8 de octubre de 2013. Don A.A.A., en adelante el denunciante, manifestaba que Vodafone España, SAU (en adelante VODAFONE) había cedido sus datos a Sierra Capital Management 2012, S.L. (en adelante SIERRA CAPITAL) con motivo de una deuda inexistente, añadiendo que esta segunda entidad había incluido sus datos personales en el fichero de solvencia patrimonial y crédito ASNEF. Adjuntado a denuncia se aportaba, entre otra, la siguiente documentación: - Copia de un escrito remitido en fecha 12/04/2011 por VODAFONE a la Agencia de Sanidad Ambiental y Consumo, de la Consejería de Salud Ambiental y Consumo del Gobierno del Principado de Asturias, en contestación a la reclamación interpuesta por el denunciante con fecha 10/01/2011 contra la citada compañía por la facturación generada posteriormente a la baja en el servicio de Internet mediante USB. En dicho escrito VODAFONE comunica al citado organismo que “se ha cursado la baja de la línea de datos C.C.C. con fecha 12/04/2011”, y se ha procedido al abono en la Cuenta Cliente del reclamante de un importe total de 12 € impuestos indirectos no incluidos, por lo que la Cuenta Cliente B.B.B. “ha quedado al corriente de pago”. - C/ Jorge Juan, 6 28001 – Madrid Copia de la notificación de inclusión de sus datos personales en el fichero ASNEF por importe de 13.55 €, realizada a instancias de www.agpd.es sedeagpd.gob.es 2/7 SIERRA CAPITAL en fecha 09/01/2013. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas E/007562/2013, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EQUIFAX IBERICA, S.L. y se efectúa una inspección con fecha 26 de septiembre de 2014 en las instalaciones de VODAFONE ESPAÑA SAU, teniéndose conocimiento de los siguientes extremos: Durante la inspección realizada en VODAFONE se verifica que en los sistemas de VODAFONE figura a nombre del denunciante la contratación de una línea con número C.C.C., con fecha de alta 26/03/2009 y fecha de baja 12/04/2011. En relación a la deuda de 13,55 € se realizan las siguientes verificaciones: 1. El cliente dejo de pagar diversas facturas que generaron una deuda con la entidad, lo que provocó la suspensión temporal de la línea 29/09/2010. Esta suspensión impedía la realización de llamadas pero generaba cargos por la cuota mensual. 2. El cliente realiza el pago de las cantidades pendientes el 15/10/2010, fecha en que la línea se vuelve a activar. En los ficheros de la entidad consta la recepción de un fax con el justificante de pago en fecha 15/10/2010 de 86,09 € por parte del denunciante. En este fax no consta que el cliente solicitase la baja del servicio, por lo que en esta fecha se activó la línea nuevamente. 3. En fecha 15/12/2010 se desactiva nuevamente por falta de pago. 4. En fecha 26/02/2011 se realiza un abono por parte de la entidad, quedando el cliente al corriente de pagos 5. En fecha 18/03/2011 consta que la línea se reactiva por pago recibido. La reactivación se produce por el abono de las facturas de fecha 1/11/2010, 1/12/2010 y 1/01/2011. Este abono lo realiza VODAFONE como consecuencia de una llamada recibida en fecha 25/02/2011 donde el cliente solicita el abono de las facturas emitidas con posterioridad a la baja solicitada. A la vista de esta información, los representantes de la entidad manifiestan que no les consta por parte de este cliente la solicitud por escrito de la baja. 6. En fecha 24/03/2011 se recibe una reclamación oficial de la Consejería de Salud y Servicios Sanitarios del Gobierno del Principado de Asturias interpuesta por el denunciante contra VODAFONE, en la que éste afirmaba que al no habérsele tramitado la baja solicitada le seguían generando facturas, que fue contestada dando de baja el servicio de Internet mediante USB en fecha 12/04/2011 y con “devolución de importes facturados antes de la baja que anulen su deuda. 12 eur sin IVA” A la vista de las verificaciones efectuadas, así como de la factura de fecha 01/05/2011 emitida a nombre del denunciante por importe total a pagar de 13,55 €, correspondiente al periodo de facturación 01/04/2011 al 12/04/2011 de la cuenta Cliente Vodafone B.B.B., los representantes de VODAFONE manifiestan que con fecha 12/04/2011 se tramitó la baja a raíz de la recepción de una reclamación oficial. En esa misma fecha se le hace un abono de 12 € y se le deja al corriente de pago, y se le emitió un documento en el que se le informaba que había quedado al corriente de pago. Esto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 se refiere a que se han abonado todas las cantidades pendientes generadas en los anteriores ciclos de facturación que comienzan el día 1 de cada mes. Es decir: quedó al corriente de pago a fecha 01/04/2011 (fecha del anterior ciclo de facturación). Igualmente, indican que en el siguiente ciclo de facturación, que se realizó en fecha 01/05/2012, se generó una última factura por el periodo no compensado, comprendido desde el 01/04/2011 al 12/04/2011, día de la baja efectiva. Añaden que esta factura se pasó al cobro del cliente que la rechazó, motivo por el que figuraba como pendiente en sus sistemas hasta que la deuda fue vendida con fecha 28/09/2013 a Sierra Capital Management.2012, S.L. (en adelante SIERRA CAPITAL). En los sistemas de VODAFONE, consta como comunicada al denunciante la operación de compraventa de dicha deuda con fecha 01/10/2012. Como consecuencia de la una reclamación oficial presentada por el afectado ante SIERRA CAPITAL se procedió a la recompra de la deuda en fecha 10/10/2013. En relación a la inclusión de los datos del denunciante en ficheros de solvencia patrimonial y crédito, EQUIFAX IBÉRICA, S.L ha informado que en el fichero ASNEF figura una incidencia a nombre del denunciante por un saldo deudor de 13.55 €, con fechas de alta y baja de 09/01/2013 y 06/08/2013, respectivamente, informada por SIERRA CAPITAL. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Los hechos objeto de denuncia podrían suponer por parte de VODAFONE un incumplimiento de lo previsto en el artículo 11 de la LOPD, precepto que establece lo siguiente en cuanto a la “Comunicación de datos”: "1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cadente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso: a)Cuando la cesión está autorizada en una Ley. b)Cuando se trate de datos recogidos de fuentes accesibles al público. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3.Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4.El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5.Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6.Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores." Así, el artículo 11.1 de la LOPD exige el consentimiento del afectado, o bien, habilitación legal (artículo 11.2.
2. a)de la LOPD) para la cesión de datos de carácter personal. En el caso analizado VODAFONE cedió los datos personales del afectado a SIERRA CAPITAL en el marco de una operación compra-venta de créditos de fecha 28/09/2012 que encontraría su habilitación legal en los artículos 347 y 348 del vigente Código de Comercio, y que fue comunicada al afectado, según figura en los sistemas de VODAFONE con fecha 01/10/2012, que disponen lo siguiente: “Artículo 347 Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste. Artículo 348 El cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare”. No obstante lo anterior, dado que VODAFONE, según figura en el expediente de investigación de actuaciones previas, reconoció con fecha 12/04/2011 ante un órgano de consumo competente en la materia que se había cursado la baja de la línea de datos C.C.C. con esa misma fecha y que el reclamante estaba al corriente de pago de la cuenta Cliente Vodafone nº B.B.B., pudiera ocurrir que, desde la perspectiva de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 la normativa de protección de datos, la cesión por VODAFONE de datos personales del denunciante a SIERRA CAPITAL se correspondiera con una deuda que no fuera cierta, vencida ni exigible al denunciante, habida cuenta que derivaba de una facturación emitida a nombre del afectado con posterioridad a la mencionada baja, en concreto con fecha 01/05/2011, y por un servicio de datos dado de baja el 12/04/2011. No hay que olvidar que el artículo 4.3 de la LOPD dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”, obligando al responsable del fichero, en este caso a VODAFONE, a que los datos personales que se recojan en sus ficheros sean exactos y respondan, en todo momento, a la situación actual de los afectados. En estas circunstancias, en las que VODAFONE comunicó a un tercero los datos personales del denunciante asociados a una deuda supuestamente incierta por los motivos ya reseñados, pudiera ser que la cesión se hubiera realizado sin contar con el consentimiento del afectado para ello ni mediar legitimación para efectuar tal comunicación. Esta conducta podría suponer la comisión por parte de la entidad denunciada de una infracción a lo dispuesto en el artículo 11.1 de la LOPD, que está tipificada como grave en el artículo 44.3.
3. k)de la misma norma, que considera como tal: “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”, III Sin embargo, a la vista de las fecha en que se produjo la reseñada operación de compra-venta entre las mencionadas empresas, y, por tanto, se llevó a cabo la comunicación de los datos del denunciante de VODAFONE a SIERRA CAPITAL, resulta necesario analizar si en el presente supuesto los hechos objeto de posible infracción están prescritos . Para ello hay que tener en cuenta que la Ley 30/1992, de 26 de noviembre del Régimen Jurídico y del Procedimiento Administrativo Común (en adelante LRJPAC), que regula con carácter general el instituto de la prescripción, hace una remisión normativa a las leyes especiales por razón de la materia objeto de regulación. En este sentido, el artículo 132.1 dispone que “Las infracciones y sanciones prescribirán según lo dispuesto en las leyes que las establezcan.” Por su parte, la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal en lo sucesivo LOPD), establece en el artículo 47, lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 al presunto infractor. 4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. 5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción. 6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, el procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor. ” Por otra parte, de conformidad con lo dispuesto en el apartado 3 del precepto antes citado, así como en el artículo 132.2 de la LRJPAC, el único modo de interrumpir el cómputo del plazo de prescripción es la iniciación, con conocimiento del interesado, del oportuno procedimiento sancionador. En consecuencia, y de conformidad con lo dispuesto en el mencionado artículo 47.1 de la LOPD, al haber transcurrido más de dos años entre el 28/09/2012, fecha en que se produjo la cesión de datos en cuestión, y la fecha de la adopción de la presente resolución sin que se haya iniciado procedimiento sancionador a VODAFONE por la posible vulneración del artículo 11.1 de la LOPD, cabe concluir que la infracción grave que podría imputarse a dicha compañía por los hechos constatados durante las actuaciones practicadas en el expediente de actuaciones previas de inspección nº E/07562/2013 ha prescrito, procediendo, por tanto, declarar la prescripción de la presunta infracción. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a VODAFONE ESPAÑA SAU y a A.A.A.. Don De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es