← España

PS-00005-2017

1/21 Procedimiento Nº PS/00005/2017 RESOLUCIÓN: R/01832/2017 En el procedimiento sancionador PS/00005/2017, instruido por la Agencia Española de Protección de Datos a la entidad XFERA MÓVILES, S.A., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 15 de febrero de 2016 se registra de entrada en esta Agencia escrito de Don A.A.A. (en lo sucesivo el denunciante), posteriormente subsanado con fechas de 6 de junio y 11 de julio de 2016, poniendo de manifiesto que desde enero de 2016 viene recibiendo correos electrónicos de YOIGO (XFERA MÓVILES, S.A. ) con información real de la facturación que emite y cobra MOVISTAR por el servicio fijo de la línea ***TEL.1 + ADSL, el cual contrató telefónicamente el 9 de marzo de 2015 con Telefónica de España, S.A.U., (en adelante TDE), así como con información correspondiente a la cuota mensual del servicio “Tarifa Móvil Fusión Infinita a lo Yoigo” de YOIGO. El denunciante considera que Telefónica de España está cediendo sus datos personales de facturación a YOIGO sin su autorización, ya que en ningún momento ha tenido relación contractual con la citada empresa. Adicionalmente, señala que con fecha 20 de noviembre de 2015 quiso cambiar el contrato a la modalidad “movistar fusión” para incorporar un móvil, también por vía telefónica, pero quedo cancelado con esa misma fecha. El denunciante ha aportado la siguiente documentación:  Correo electrónico remitido desde la dirección <....@facturayoigo.com> a la cuenta del denunciante <.....@....>, el día 11 de enero de 2016 con Asunto: “Resumen de tu factura de Fusión a lo Yoigo”, en el que YOIGO comunica: “HOLA, YA ESTÁ LA FACTURA DE DICIEMBRE 2015 El resumen de tu producto Fusión a lo Yoigo de este mes ya está listo para que le eches un vistazo. Puedes acceder haciendo clik aquí. (…)”, siendo el texto subrayado un enlace al resumen de la facturación, documento en el que YOIGO informa: “Este es el resumen de tu factura de Fusión a lo Yoigo diciembre 2015. La tarifa que tienes contratada es: Cuota mensual fijo e internet de Movistar (36,76€) y cuota mensual móvil de Yoigo (14,72€). Te llegaran al banco dos recibos distintos el día 16 de cada mes. (…).” Se adjuntan cabeceras del citado correo electrónico.  Factura emitida por Telefónica de España, S.A. a nombre del denunciante, de fecha 16 de enero de 2016, por los servicios Movistar ADSL base fijo-móvil de la línea ***TEL.1 por importe de 34,44€.  Correo electrónico remitido desde la dirección <....@facturayoigo.com> a la cuenta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 del denunciante <.....@....>, el día 10 de febrero de 2016, con Asunto: “Resumen de tu factura de fusión a lo Yoigo.”, en el que YOIGO comunica: “HOLA, YA ESTÁ LA FACTURA DE ENERO 2016 El resumen de tu producto Fusión a lo Yoigo de este mes ya está listo para que le eches un vistazo. Puedes acceder haciendo clik aquí. (…)”, siendo el texto subrayado un enlace al resumen de la facturación, documento en el que YOIGO informa: “Este es el resumen de tu factura de Fusión a lo Yoigo enero 2016. La tarifa que tienes contratada es FUSIÓN INFINITA A LO YOIGO: Cuota mensual fijo e internet de Movistar (36,76€) y cuota mensual móvil de Yoigo (14,72€). Te llegaran al banco dos recibos distintos el día 16 de cada mes”. Se adjuntan cabeceras del citado correo electrónico.  Escrito remitido por el denunciante mediante correo electrónico a TDE el día 12 de enero de 2016 desde la dirección <.....@....> a la dirección <asesorcomercial@telefonica.es>, en el que el denunciante comunica los mismos hechos que los manifestados ante esta AEPD. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia tienen conocimiento de los siguientes extremos: 2.1 Las compañías Telefónica de España S.A.U. (operador de servicios de comunicaciones fijas) y Xfera Móviles, S.A. (operador de servicios de comunicaciones móviles) suscribieron, con fecha 31 de julio de 2013, “Contrato de Agencia entre Telefónica y YOIGO”, parte del cual fue transcrito en el acuerdo de inicio y se reproduce o resume en el Hecho Probado 8) a efectos de evitar su reiteración innecesaria. 2.2 La compañía XFERA MÓVILES, S.A. ha manifestado: - Que el denunciante no es ni ha sido cliente de YOIGO. - Que el correo electrónico enviado se enmarca dentro del contrato suscrito entre TDE y YOIGO el 31 de julio de 2013, en virtud del cual YOIGO comercializaba productos minoristas fijos de Telefónica, que permitían presentar en el mercado un paquete convergente de servicios fijos y móviles, en concreto el producto Fusión plan a lo Yoigo. - Que la tarifa “Fusión a lo Yoigo” está diseñada para un servicio de línea fija de teléfono e Internet ADSL cuya puesta a disposición del cliente y posterior facturación corresponde a la empresa Movistar. YOIGO sólo presta el servicio de telefonía móvil y lo factura en consecuencia (cláusula 2.2 del contrato). - Ello no obstante, para que el cliente tuviera una experiencia de producto único se acordó que YOIGO remitiría un correo electrónico a cada cliente con el detalle del resumen de la factura. (cláusula 2.3 del contrato) - Telefónica era la encargada de remitir el fichero de clientes a los que YOIGO debía enviar el correo electrónico con el resumen de la factura, ello de conformidad con el documento “Requerimientos para la composición y gestión del documento informativo integrador de facturas Movistar y Yoigo”. - La tarifa “Fusión a lo Yoigo” ha dejado de comercializarse. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 2.3 La compañía Telefónica de España, S.A.U. ha informado: - Que el denunciante fue dado de alta en el servicio ADSL Base de la línea ***TEL.1 el 9 de marzo de 2015 tras un contacto comercial realizado el 3 de marzo de 2015 a través del canal on line. En relación con la copia de la grabación realizada de este contacto, TDE observa que debido, probablemente, a un error humano del agente, se recoge parte de la conversación que concreta la modalidad ADSL base - El denunciante sigue dado de alta en el mencionado servicio ADSL Base fijomóvil de la línea ***TEL.1, como prueba la factura de 16 de noviembre de 2016 emitida a su nombre adjuntada. - La comunicación de aviso de factura remitida desde YOIGO al denunciante tiene su origen en el contrato suscrito entre TDE y YOIGO para la comercialización del producto ADSL Base. Existe una gestión tramitada el 8 de diciembre de 2015 desde un canal de venta soporte de la red de distribución de YOIGO, motivo por el que se incorpora al cliente la marca de catalogación prevista en dicho contrato. - El servicio ADSL Base de Telefónica de España, comercializado por la red de distribución de YOIGO, y la línea móvil de YOIGO son los elementos imprescindibles para la facturación del servicio FUSIÓN INFINITA A LO YOIGO. - El denunciante contrató el servicio ADSL Base con Telefónica de España, recayendo sobre YOIGO la acreditación de la contratación del producto FUSIÓN INFINITA A LO YOIGO como empresa comercializadora de dicho producto. Indican que han solicitado información a YOIGO respecto de la inclusión en el correo resumen de la factura recibido por el denunciante de una cuota mensual del mencionado servicio, que no ha sido contestada. - No hay constancia de contestación a la reclamación presentada el día 12 de enero de 2016 por el denunciante a través de la dirección de correo electrónico <asesorcomercial@telefonica.es>. No se ha identificado la unidad a la que pertenece dicho buzón, pero se trata de una cuenta externa ya que desde hace varios años todas las cuentas internas terminan en la extensión <@telefonica.com>. Han intentado remitir un correo a dicha dirección con acuse de entrega y notificación de lectura, que ha sido rehusado. Consta un contacto en el 1004, de fecha 20 de enero de 2016, tipificado como "Reclamación - Facturación - No solicité el producto y servicio", pero no se ha podido obtener más información sobre el contenido de dicha reclamación. 2.4 Se ha verificado por esta Agencia que en el fichero facilitado por Telefónica de España conteniendo la grabación realizada el 3 de marzo de 2015 por la plataforma que atiende las contrataciones que se realizan a través del canal on line, que incluye una conversación telefónica mantenida entre dos personas sobre la contratación de ADSL + línea fija y llamadas a móviles, no se concretan finalmente los servicios contratados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 TERCERO: Con fecha 3 de febrero de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a XFERA MÓVILES, S.A., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio se llevan a cabo las siguientes actuaciones: -Con fecha 9 de febrero de 2017 se remite a YOIGO copia de la documentación obrante en el procedimiento en ese momento (folios 1 al 108) en contestación a la solicitud de esa empresa de esa misma fecha. - Con fecha 23 de febrero de 2017 se acuerda ampliar el plazo para formular alegaciones que le fue concedido a YOIGO hasta un máximo de cinco días, a contar desde el día siguiente a aquél en el que finalizase el primer plazo, ello en contestación al escrito de fecha 22 de febrero de 2017 formulado por dicha entidad. - Con fecha 27 de febrero de 2017 se comunica al denunciante que como resultado de las actuaciones previas de investigación E/01680/2016, iniciadas con motivo de su denuncia se estaban tramitando dos procedimientos sancionadores, cuya referencia que constaba en dicho escrito, el cual se formula en contestación a la solicitud de información del denunciante de fecha 7 de febrero de 2017, la cual fue reiterada con fecha 27 de febrero de 2017. QUINTO: Con fecha 28 de febrero de 2017 se registra de entrada escrito de Xfera Móviles aduciendo en su defensa las siguientes alegaciones: -El denunciante no es, ni ha sido, cliente de la empresa, como acreditan los tres pantallazos correspondientes al resultado de la búsqueda efectuada con el NIF del denunciante en sus sistemas de clientes relativos a pedidos, suscripciones activas y terminadas. No ha existido ninguna orden cursada, ni ningún pedido en ninguno de sus canales de distribución. El pantallazo que se aporta por Telefónica (folio 40) es ajeno a YOIGO. El propio denunciante señala en su escrito de fecha 6 de junio de 2016 que sólo ha tenido contactos con Telefónica, por lo que dicha compañía es la responsable del tratamiento inconsentido de los datos del afectado al incluirlo en sus sistemas como subscriptor de una contratación no solicitada. - La razón por la que el denunciante recibe un correo electrónico de YOIGO deriva del contrato suscrito entre TDE y YOIGO el 31 de julio de 2013, por el que ésta comercializaba productos minoristas fijos de Telefónica, que permitían presentar en el mercado un paquete convergente de servicios fijos y móviles, en concreto el producto Fusión plana a lo Yoigo. La tarifa “Fusión a lo Yoigo” está diseñada para un servicio de línea fija de teléfono e Internet ADSL cuya puesta a disposición del cliente y posterior facturación corresponde a la empresa Movistar. YOIGO sólo presta el servicio de telefonía móvil y lo factura en consecuencia. Se transcribe la cláusula 2.2 del citado contrato y detalle de la tarifa que se publicaba en la en la página web http://fusión.yoigo.com/plana/. Para que el cliente tuviera una experiencia de producto único, en la cláusula 2.3 del citado contrato se acordó que YOIGO remitiría un correo electrónico a cada cliente con el detalle del resumen de la factura. Afirman que de acuerdo con el documento ”Requerimiento para la composición y gestión de documento informativo integrador de facturas Movistar y Yoigo”, TDE era la encargada de remitir el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 fichero de clientes a los que YOIGO debía enviar el correo electrónico con el resumen de la factura. - El denunciante no tiene ni tenía relación alguna con YOIGO, tal y como éste afirma en su denuncia. TDE dio curso en sus sistemas a una contratación no solicitada y, una vez identificado el afectado como cliente del producto Fusión, incluyó sus datos en el fichero de clientes que remitía mensualmente a YOIGO para que ésta enviara el correo electrónico con el resumen de la factura. En cumplimiento del contrato suscrito con TDE, YOIGO remitió el mencionado correo electrónico al listado de clientes incluidos en el fichero recibido. La empresa no ha realizado ningún tratamiento inconsentido de datos. - Subsidiariamente, a los efectos de fijar la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda en gravedad a aquella en la que se integra la considerada en este caso, se solicita se tenga en cuenta lo establecido en el apartado
  2. e)del artículo 45.5 de la LOPD, así como la concurrencia del apartado
  3. a)del artículo 45.5 al operar en forma significativa como atenuantes los criterios e),
  4. f)y
  5. h)del apartado 4 del artículo 45 de dicha norma. SEXTO: Con fecha 3 de marzo de 2017 se inició período de práctica de pruebas, en el que se acordó: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante, la documentación que integra las actuaciones previas de Inspección E/01680/2016, las alegaciones al acuerdo de inicio PS/00005/2017 presentadas por XFERA MÓVILES, S.A. y la documentación que a ellas acompaña. 2. Solicitar a XFERA MÓVILES, S.A. contestación a los siguientes extremos y aportación de la siguiente documentación: 2.1 Origen de los importes de 14,72 € correspondientes a la “Cuota mensual Móvil de Yoigo”, Tarifa Móvil Fusión Infinita a lo Yoigo”, que figuran en los resúmenes de las facturas de Fusión a lo Yogo de los meses de diciembre de 2015 y enero de 2016 enviados a la dirección de correo electrónico del denunciante; 2.2 Remisión de copia de las facturas asociadas a dichos importes; 2.3 Causa por la que facturaron dichas cantidades al denunciante si no era cliente de esa sociedad ni había contratado el producto conjunto; 2.4 Acreditación de los mecanismos implementados por esa empresa para comprobar que los resúmenes del producto Fusión a lo Yoigo se remitían a clientes de ese producto; 2.5 Acreditación de que esa empresa validó los datos del denunciante a los que se refiere el apartado 3 del Documento “Requerimientos para la composición y gestión de documento informativo integrador de facturas Movistar y Yoigo” . Con fecha 28 de marzo de 2017 se registra de entrada escrito de la inculpada contestando lo siguiente: - El origen del importe de 14,72 € está en los precios de la tarifa “Fusión Infinita a lo Yoigo” que se comercializó hasta el 2 de febrero de 2016, y que continúa vigente para aquellos clientes que la tienen contratada. Se adjunta documento “Histórico de los plantes de tarifas”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 - Nunca se ha emitido ninguna factura ni se le ha cobrado cantidad alguna al denunciante, puesto que no es cliente. La entidad se ha limitado a enviar un correo electrónico con el resumen de factura, que no es más que una comunicación informativa que se enviaba a clientes de las tarifas Fusión para que tuvieran una experiencia de producto único. - El documento nº 2 “Requerimiento para la composición y gestión de documento informativo integrador de facturas Movistar y Yoigo” establece que Movistar enviará a YOIGO el fichero con los datos a facturar, debiendo hacer la validación de NIF prevista en el supuesto 3.1.b), puesto que al no ser el denunciante un cliente de YOIGO no existe NIF que cotejar. La empresa actuó conforme al procedimiento establecido tanto en el contrato como en el citado documento, en el que al recibir un NIF se obliga a enviar el email con el resumen de factura que corresponda en función del resultado de la validación del NIF. El error fue incluir en el contenido del email información errónea sobre el importe de la factura en la parte móvil, puesto que el denunciante no era cliente de YOIGO. Respecto de la validación con email, el reseñado documento establece que se hace a posteriori y una vez enviado el email en todos los casos. SÉPTIMO: Con fecha 18 de mayo de 2017 se levanta Diligencia de Instrucción en la que se hace constar que se incorpora al procedimiento sancionador PS/00005/2017 la siguiente documentación: - Copia de la resolución dictada, con fecha 14 de marzo de 2017, por la Directora de la AEPD en el PS/00004/2017 de terminación del procedimiento por pago voluntario, en la que, asimismo, consta que TDE reconoció su responsabilidad en los hechos constitutivos de infracción a lo previsto en el artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  6. k)de la citada Ley, por la cesión inconsentida de datos de carácter personal del denunciante a la mercantil YOIGO para la remisión al afectado de dos correos electrónicos adjuntando el documento resumen de la facturación correspondiente al producto conjunto “Fusión a lo Yoigo” de los meses de diciembre de 2015 y enero de 2016. - Impresión del resultado de la información obtenida mediante consulta efectuada el 18 de mayo de 2017 en el Registro Mercantil Central referente a XFERA MÓVILES, S.A.U. OCTAVO: Con fecha 7 de junio de 2017 se incorpora al procedimiento escrito de TDE, registrado de entrada en esta Agencia con fecha 1 de marzo de 2017, procedente del procedimiento sancionador PS/00004/2017, en el que dicha compañía se acoge a lo previsto en los apartados 1) y 2) del artículo 85 de la Ley 39/2015, de 1 de octubre, Ley del Procedimiento Administrativo Común de las Administraciones Públicas. En dicho escrito, TDE manifiesta que esa entidad: “había reconocido en la contestación al expediente informativo E/01680/2016 la existencia de una gestión tramitada desde un canal de venta soporte de la red de distribución de Yoigo (orden de provisión *****1); motivo por el cual se incorpora en la ficha de cliente (entendemos que por error) la marca de catalogación prevista en el Acuerdo suscrito entre Telefónica y Xfera Móviles para la comercialización del producto ADSL Base.” NOVENO: Con fecha 9 de junio de 2017 se formuló propuesta de resolución, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 sentido de que por la Directora de la AEPD se sancionase a XFERA MÓVILES, S.A. con multa de 5.000 € (Cinco mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  7. b)de dicha norma, la cual fue notificada a dicha empresa con esa misma fecha. DÉCIMO: Con fecha 27 de junio de 2017 se registra de entrada escrito de Xfera Móviles reiterando las alegaciones expuestas con anterioridad. HECHOS PROBADOS PRIMERO: Con fecha 15 de febrero de 2016 el denunciante presentó escrito, ampliado con fechas 6 de junio y 11 de julio de 2016, poniendo de manifiesto la cesión inconsentida de sus datos de carácter personal por parte de TELEFÓNICA DE ESPAÑA, SAU (operador de servicios de comunicaciones fijas, y en adelante, TDE) a XFERA MÓVILES, S.A. (operador de servicios de comunicaciones móviles, y en lo sucesivo, YOIGO), toda vez que última le ha remitido dos correos electrónicos a su cuenta de correo conteniendo los resúmenes de facturación de los meses de diciembre de 2015 y enero 2016 del servicio de telefonía que tiene contratado con TELEFÓNICA DE ESPAÑA, SAU y del servicio “Fusión a lo Yoigo” de YOIGO, empresa con la que no nunca ha mantenido relación contractual ni contactos comerciales. (folios 1 al 6, 16 al 25 ). SEGUNDO: En los sistemas de información de TDE el denunciante figura como cliente de esa compañía desde el 9 de marzo de 2015, fecha también citada por el denunciante como de contratación de la línea fija nº ***TEL.1. (folios 16, 38 al 42) Según TDE, el alta en el servicio ADSL Base se produce tras un contacto comercial realizado el 3 de marzo de 2015 por la plataforma que atiende las contrataciones que se realizan a través del canal on line. TERCERO: El denunciante ha aportado la factura correspondiente al mes de diciembre de 2015 emitida por TDE a su nombre con 16 de enero de 2016, correspondiente a la cuota mensual “Movistar ADSL Base Fijo-Móvil (8 Dic. A 31 Dic.), servicio que aparece asociado a la línea de teléfono fija nº ***TEL.1. (folio 3). CUARTO: El denunciante no es ni ha sido cliente de YOIGO, no figurando ningún dato del mismo en los Sistemas de Información de esa compañía. (folios 51, 123, 124) QUINTO: Con fechas 11 de enero de 2016 y 10 de febrero de 2016 YOIGO remitió desde la dirección de correo eléctronico <....@facturayoigo.com> a la cuenta del denunciante <.....@....> dos envíos con Asunto: “Resumen de tu factura de Fusión a lo Yoigo” correspondiente a los meses de diciembre 2015 y enero 2016, respectivamente. (folios 20 al 23) SEXTO: El texto del correo electrónico remitido por YOIGO al denunciante con fecha 11 de enero de 2016 es el siguiente: (folios 20 al 21) “HOLA, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 YA ESTÁ LA FACTURA DE DICIEMBRE 2015 El resumen de tu producto Fusión a lo Yoigo de este mes ya está listo para que le eches un vistazo. Puedes acceder haciendo clik aquí. (…)”, siendo el texto subrayado un enlace al resumen de la facturación, documento en el que YOIGO informa: “Este es el resumen de tu factura de Fusión a lo Yoigo diciembre 2015. La tarifa que tienes contratada es: Cuota mensual fijo e internet de Movistar (36,76€) y cuota mensual móvil de Yoigo (14,72€). (…) CUOTA MENSUAL FUSIÓN A LO YOIGO 51,48 € . Te llegaran al banco dos recibos distintos el día 16 de cada mes. (…).” SÉPTIMO: El texto del correo electrónico remitido por YOIGO al denunciante con fecha 10 de febrero de 2016 es el siguiente: (folios 22 al 23) “HOLA, YA ESTÁ LA FACTURA DE ENERO 2016 El resumen de tu producto Fusión a lo Yoigo de este mes ya está listo para que le eches un vistazo. Puedes acceder haciendo clik aquí. (…)”, siendo el texto subrayado un enlace al resumen de la facturación, documento en el que YOIGO informa: “Este es el resumen de tu factura de Fusión a lo Yoigo enero 2016. La tarifa que tienes contratada es FUSIÓN INFINITA A LO YOIGO: Cuota mensual fijo e internet de Movistar (36,76€) y cuota mensual móvil de Yoigo (14,72€).(…) CUOTA MENSUAL FUSIÓN A LO YOIGO 51,48 € . Te llegaran al banco dos recibos distintos el día 16 de cada mes”. OCTAVO: Con fecha 31 de julio de 2013, TELEFONICA DE ESPAÑA, S.A.U. y XFERA MÓVILES, S.A. suscribieron, “Contrato de Agencia entre Telefónica y YOIGO” (folios 55 al 83) , el cual tenía por objeto “determinar las condiciones de comercialización por las cuales YOIGO podrá promover la contratación, (…) en nombre y por cuenta de TELEFÓNICA, de ciertos servicios fijos prestados por TELEFÓNICA”, así como regular las condiciones que permitían a YOIGO “presentar al mercado minorista una “oferta convergente”, el Producto Conjunto, que incluya en un solo empaquetamiento comercial dos servicios: - El servicio telefónico móvil y de banda ancha móvil prestado por YOIGO; - El servicio telefónico fijo y de banda ancha fija (Servicios Fijos) de TELEFÓNICA.” En cuanto a la comercialización del producto conjunto, y a pesar de la comercialización por YOIGO de dicha oferta conjunta o producto conjunto como un empaquetamiento, en el contrato figura que “el cliente debía contratar formalmente tanto con TELEFÓNICA como con YOIGO el servicio minorista de cada uno de los servicios integrados con el paquete convergente, para sí poder disfrutar del producto fijo y del producto móvil respetivamente.”, de tal modo que el cliente contrataba con TELEFONICA los servicios de telecomunicaciones fijas y con YOIGO los servicios de telecomunicaciones móviles, manteniendo relaciones contractuales independientes con éstas. En cuanto a la facturación se estipula que para que los clientes finales del producto conjunto ofertado tuvieran una experiencia de producto único, y con independencia de que recibieran dos facturas independientes y separadas emitidas por cada una de las partes por los servicios fijos o móviles prestados, “coincidiendo con cada período de facturación, Yoigo remitirá un correo electrónico a cada cliente de dicho Producto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 Conjunto en el que detallará:  El importe del Producto Conjunto, resultante de la suma de los conceptos incluidos en dicho paquete facturables por ambas partes,  La información relativa al importe total de las facturas que el cliente recibirá de cada Parte, con una referencia a los conceptos adicionales al Producto Conjunto a los que se refiere. ” NOVENO: El documento denominado “Requerimientos para la composición y gestión de documento informativo integrador de facturas Movistar y Yoigo”, de fecha 29 de octubre de 2013, que contiene la siguiente información: (folios 84 al 90) Las funciones a desarrollar por el operador móvil serán: Validación de Datos; Elaboración de documento resumen: Envío por email; Detección de discrepancias/errores en los envíos del operador fijo, principalmente diferencias emails y NIFs; Devolución de los ficheros con el resultado de su proceso Para ello en el punto 2 del documento se establece que: “La operadora fija enviará al operador móvil un fichero con los datos necesarios para la elaboración del documento resumen, (…)” fijándose como datos básicos del fichero: Titular, NIF, email, numeración fija y los conceptos facturados al cliente. Los datos reflejados en el apartado de descripción del fichero a ser suministrador por el operador fijo. . En el punto 3 se determina que el operador móvil validará el NIF, email e idioma con anterioridad a la elaboración del documento resumen, y actuará conforme al siguiente protocolo en función del resultado de dichas comprobaciones: Respecto del resultado validación de NIF: a. Si el NIF coincide, se enviará el email resumen con la parte fija y la parte móvil, concretándose que en caso de discrepancias con el email se usará el del operador móvil. b. Si el NIF existe sólo en la parte fija, se enviará email resumen solo con la parte fija, concretándose que se enviará resumen a la dirección de email facilitada por el operador fijo. c. Si el NIF existe sólo en la parte móvil, se enviará email resumen solo con la parte móvil. Se señala que se enviará resumen a la dirección de email facilitada por el operador móvil Los modelos de documentos resumen a enviar tendrán diferentes presentaciones en función del resultado de la validación (documento conjunto con datos de fijo y móvil, documento sólo con datos de fijo, documento sólo con datos de móvil). Respecto del resultado de la validación del email, se enviarán los emails a los clientes con independencia de que sean coincidentes o se detecten discrepancias, determinándose que: “en el caso de discrepancias en emails y resto de datos coincidentes, el email que se utilizará para el envío será el de la operadora móvil.” , realizándose por la operadora móvil “ una gestión posterior con el cliente para corrección de emails discrepantes, actualizando las bases de datos de ambas operadoras. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 Cuando el fichero con datos de fijo no contenga email del cliente, el operador móvil elaborará documento resumen con las dos partes, usando el email registrado en la pare móvil. En cuanto al Documento Resumen se fija que: “El operador móvil enviará un email a los clientes con un resumen de los cargos asociados a los servicios prestados por los operadores, distinguiendo entre la fija y la móvil,(…). También se incluirán los link correspondientes a las webs de los Operadores para posibles consultas a su factura. (…) DÉCIMO: YOIGO ha manifestado que la tarifa “Fusión Infinita a lo Yoigo” dejó de comercializarse en febrero de 2016 (folios 125 y 150 ) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  8. g)en relación con el artículo 36 de la LOPD. II El artículo 2.1 de la LOPD señala que: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”. El concepto de dato de carácter personal aparece definido en el artículo 3.
  9. a)de la LOPD, como: “Cualquier información concerniente a personas físicas identificadas o identificables”, señalándose en el artículo 5.1.
  10. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en adelante RDLOPD como datos de carácter personal: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En el apartado 1.
  11. o)se define persona identificable, como “toda persona cuya identidad pueda determinase, directa o indirectamente, mediante cualquier comunicación referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados” A su vez, en los apartados b), c), d), y
  12. e)del artículo 3 de la LOPD se definen los siguientes conceptos: “
  13. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
  14. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
  15. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
  16. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  17. c)del presente artículo. En el presente caso, como el tratamiento denunciado afecta a una dirección de correo electrónico procede analizar, con carácter previo al análisis del fondo del asunto, si se ha producido el tratamiento de un dato de carácter personal del denunciante. A la vista de las definiciones anteriores, se evidencia que la dirección de correo electrónico del denunciante utilizada por YOIGO para remitirle, con fechas 12 de enero de 2016 y 10 de febrero de 2016, dos envíos comunicándole el resumen de facturación correspondiente a un producto conjunto que no había contratado supone un tratamiento de un dato de carácter personal del afectado conforme a lo previsto en las mencionadas definiciones de la LOPD. El correo electrónico del denunciante usado por la inculpada constituye una información que permite identificar al mismo sin esfuerzos desproporcionados, máxime en este caso en el que en los ficheros remitidos por TDE a YOIGO para la elaboración del documento resumen de facturación además del email del denunciante figuraban los datos del titular, su NIF y el número de línea fija (folio 151), información a la que YOIGO tuvo acceso y que resultaba necesaria para llevar a cabo las validaciones estipuladas en el documento denominado ““Requerimientos para la composición y gestión de documento informativo integrador de facturas Movistar y Yoigo” (Hecho Probado nº 9) En relación con dicho asunto es criterio reiterado de esta Agencia, sostenido en numerosos informes del Servicio de Abogacía del Estado de la misma, entre otros el de 23 de junio de 2006, que la dirección de correo electrónico de una persona física puede ser considerada dato personal. Ratifica dicho criterio la Sentencia de la Audiencia Nacional de fecha 15 de enero de 2015, Rec. 297/2010, en relación con un expediente sancionador tramitado también por la AEPD por el tratamiento inconsentido de la dirección de correo profesional de una persona física, y en la que se indicaba: “En relación con la dirección de correo electrónico, esta Sala ha considerado en las SSAN de 23 de marzo 2006 (Rec. 911/2003), 25 de mayo de 2006 (Rec. 536/2004), que la dirección de correo electrónico de la que es titular una persona física, constituye una información que le concierne, que le afecta, y que forma parte del ámbito de su privacidad protegido por la Ley de Protección de Datos, siéndole plenamente aplicable su régimen Jurídico. En dichos procedimientos se argumentaba que en los supuestos a los que se referían la dirección de correo electrónico no recogía el nombre y apellidos de su titular y no tenía vinculación con su identidad, por lo que no debería considerarse como dato de carácter personal, pero ello fue desestimado por las citadas sentencias. En concreto, la SAN de 25 de mayo de 2006 especificaba que la dirección de correo electrónico de que es titular una persona física constituye un dato personal porque "con independencia de que la denominación de la dirección corresponda o no con el nombre y apellido de su titular, país o empresa en la que trabaja, lo cierto es que se puede mediante una operación nada difícil, identificar perfectamente a una persona física, ya que esa dirección de correo electrónico aparecerá vinculada a un dominio concreto, por lo que sólo será necesario consultar al servidor en que se gestione dicho servicio. Es más esta Sala, en un caso como el número del Documento Nacional de Identidad, que en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 principio no tiene aparente relación externa con el nombre y apellido de su titular, ha entendido que es un dato de carácter personal amparado por la LOPD en la sentencia de 27 de octubre de 2004 (Rec. 1112/2002 )". Por tanto, la dirección de correo electrónico de una persona física, en la medida que permite identificar a su titular sin plazos ni actividades desproporcionadas, constituye un dato personal y su tratamiento en casos como el presente, y sin perjuicio de las previsiones específicas establecidas por la Ley de Servicios de Sociedad de la Información para otros supuestos, está sometido a las previsiones de la LOPD. “ En consecuencia, cabe concluir que la dirección de correo electrónico del denunciante es un dato de carácter personal cuyo tratamiento está sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización si el denunciante no ha dado su consentimiento inequívoco para ello. III En el presente procedimiento se imputa a YOIGO la presunta vulneración del artículo 6.1 de la LOPD que dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” Ese precepto ha de integrarse con las siguiente definición recogida en el apartado
  18. h)el artículo 3 de la LOPD que el “Consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento o autodeterminación recogido en el artículo 6.1 de la LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos de carácter personal. Derecho fundamental que en palabras del Tribunal Constitucional (STC 292/2000, Fundamento Jurídico 7) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 posibles, por un tercero, sea el estado o un particular (...).” A su vez, el artículo 12 del RLOPD establece los siguientes “Principios generales” en cuanto a la “Obtención del consentimiento del afectado”: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2. Cuando se solicite el consentimiento del afectado para la cesión de sus datos, éste deberá ser informado de forma que conozca inequívocamente la finalidad a la que se destinarán los datos respecto de cuya comunicación se solicita el consentimiento y el tipo de actividad desarrollada por el cesionario. En caso contrario, el consentimiento será nulo. 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. Por otra parte, el artículo 6 del ya citado Reglamento general de protección de datos, Reglamento (UE) 2016/679 establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
  19. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
  20. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” (…); norma aplicable a partir del 25 de mayo de 2018, fijando en su artículo 7.1) en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. De acuerdo con los preceptos transcritos incumbe al responsable del tratamiento de los datos estar en disposición de probar que cuenta con el consentimiento inequívoco de su titular, que media habilitación legal para ello o que se produce alguna de las excepciones al consentimiento fijadas en el apartado 2 del artículo 6 de la LOPD, o, al menos, probar que adoptó las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD en su artículo 6.1. En relación con esta cuestión, la sentencia de la Audiencia Nacional de 4 de marzo de 2009 señala: “Respecto al consentimiento, es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. IV El presupuesto fáctico de la infracción atribuida a YOIGO se concreta en el tratamiento del correo electrónico del denunciante sin el consentimiento inequívoco del mismo para enviarle dos resúmenes de facturación del producto “Fusión a lo Yoigo” correspondientes a los meses de diciembre de 2015 y enero de 2016, en los que junto con los importes del servicio “Movistar ADSL Base Fijo-Móvil” que el afectado tenía contratado con TDE se le imputaban los importes detallados como “Cuota mensual Móvil de Yoigo. Tarifa Móvil Fusión Infinita a lo Yoigo”, cuando el afectado no sólo no había contratado dicho servicio con YOIGO, sino que nunca ha mantenido relación contractual con dicha empresa. De hecho, esta circunstancia ha sido puesta de manifiesto tanto por el denunciante como por la propia inculpada, en cuyos sistemas de información no figura ninguna información relativa al denunciante. De esta forma, al no enmarcarse dicho tratamiento en el desarrollo de una acción necesaria para el mantenimiento o cumplimiento de una relación contractual existente entre las partes, no resulta de aplicación al presente caso la excepción recogida en el artículo 6.2 de la LOPD a la exigencia del consentimiento inequívoco del afectado determinada en el artículo 6.1 de la misma norma, habida cuenta que el afectado no es cliente de la inculpada al no mantener ningún tipo de relación contractual con YOIGO. Tampoco YOIGO, a lo largo de la instrucción del procedimiento, ha presentado prueba alguna que justificase que los mencionados envíos se habían realizado contando con el consentimiento inequívoco del afectado para tratar su correo electrónico o se amparasen en una norma legal que legitimaba el uso realizado.. La falta de facturación real a nombre del denunciante por parte de la inculpada no implica que, de conformidad con las definiciones contenidas en los apartados a), c),
  21. e)y
  22. h)del artículo 3 de la LOPD, dicha empresa no resulte responsable de la conculcación del principio del consentimiento al haber usado el dato del uso del dato del correo electrónico del denunciante en las fechas y con la finalidad anteriormente descritas, conducta en la que se materializa el tratamiento sin consentimiento llevado a cabo por YOIGO. Así, consta probado en el expediente que ese operador móvil envió al denunciante con fechas 11 de enero y 10 de febrero de 2016 los dos correos electrónicos con asunto: ”Resumen de tu factura de Fusión a lo Yoigo” reseñados en los Hechos Probados 5) al 7). Cabe decir por tanto que, ante la falta de acreditación por parte de la entidad imputada del consentimiento inequívoco del denunciante para el tratamiento de sus datos personales, y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, ya que YOIGO ha reconocido que el denunciante no es cliente ni ha sido se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 V YOIGO pretende exonerarse de la responsabilidad en la que ha incurrido aduciendo que los reseñados envíos traen causa del contrato suscrito entre TDE y esa empresa con fecha 31 de julio de 2013. Según la inculpada, TDE es la verdadera responsable del tratamiento, por haber dado de alta indebidamente en sus sistemas al denunciante como cliente de un producto sin constar que hubiera sido contratado por el afectado a través de los canales de distribución de YOIGO, procediendo posteriormente a comunicar los datos del afectado a YOIGO a través de los ficheros enviados para la remisión de los correos electrónicos con el resumen de las facturas de la tarifa “Fusión a lo Yoigo”, envíos que YOIGO realizó en cumplimiento del mencionado contrato. Con independencia de que TDE haya reconocido, tan pronto como se le notificó el acuerdo de inicio del PS/00004/2017, su responsabilidad en la cesión inconsentida de los datos del denunciante a YOIGO para la remisión al afectado, vía correo electrónico, de los reseñados resúmenes de facturación, esta Agencia entiende que, en el supuesto analizado, YOIGO resulta responsable de la comisión de la infracción al principio del consentimiento a título de culpa, puesto que trató los datos del denunciante en la forma y con la finalidad descritas sin asegurarse, previamente a la realización de tales envíos, que el titular de la cuenta de correo electrónico a la que remitía los resúmenes era cliente de YOIGO. Téngase en cuenta que la remisión de dichos resúmenes de facturación por YOIGO respondía, según se desprende de la documentación contractual obrante en el procedimiento, al interés de dotar de una apariencia de producto conjunto al empaquetamiento comercial de los servicios de telefonía móvil y de telefonía fija comprendidos en la tarifa “Fusión a lo Yoigo”, aunque los servicios comprendidos en la misma se contrataban separadamente por el cliente con YOIGO y con TDE, prestando y facturando la primera los servicio de telefonía móvil y la segunda los servicios de telefonía fija. En este marco el denunciante recibió dos correos electrónicos remitidos por YOIGO comunicándole unos resúmenes de facturación asociados a un producto conjunto en el que se incluía la cuota mensual del servicio contratado a TDE y otra cuota mensual de un servicio Móvil de YOIGO que el afectado no había contratado, circunstancia que la inculpada tenía obligación de conocer ya que el denunciante no era cliente de YOIGO, no debiendo, por tanto, de haber tratado el correo electrónico del afectado para enviarle información referente a un producto que no había contratado, tal y como le constaba en sus propios sistemas. Para poder exigirse a YOIGO responsabilidad administrativa sancionadora resulta condición esencial la presencia del elemento subjetivo o elemento culpabilístico de la infracción. Así lo ha reconocido el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. La Ley 40/2015 del Régimen Jurídico del Sector Público se refiere a este requisito en su artículo 28 que dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” En relación con esta cuestión, YOIGO alega que actuó conforme al procedimiento establecido en el contrato de Agencia suscrito con TDE y en el documento ”Requerimiento para la composición y gestión de documento informativo integrador de facturas Movistar y Yoigo” puesto que al recibir un NIF que sólo existía en la parte fija, le envío tal y como estaba obligada en todos los casos, el email con el resumen de factura, y la validación con email se hace a posteriori y una vez enviado el email en todos los casos. A este respecto, consta que: se señala que en la introducción del mencionado documento “Movistar va a crear tres productos específicos en su línea de negocio fija de voz e internet con capacidad de crear paquetes con la línea móvil de otro operador. Los productos de la línea fija podrán ser contratados por clientes de Movistar, sin contratar la parte móvil, en cuyo caso, no formarán parte de este requerimiento.” A tenor de lo cual, la elaboración de los resúmenes de facturación que integran facturas Movistar (entiéndase TDE) y YOIGO así como su envío requiere que el cliente en cuestión haya contratado con TDE y con YOIGO, en forma separada, los productos asociados a la Tarifa “Fusión a lo Yoigo”. De hecho el propio nombre del documento (“Requerimiento para la composición y gestión de documento informativo integrador de facturas Movistar y Yoigo”) resulta ilustrativo a los efectos que nos ocupan. Es decir, las instrucciones de los elementos a validar (NIF, email e idioma), deben situarse en ese contexto, utilizándose el email de los clientes obrante en la parte fija o en la parte móvil para el envío del documento resumen a los mismos en función del resultado de las comprobaciones efectuadas en el fichero facilitado por TDE y en los sistemas de YOIGO y con arreglo a las situaciones señaladas en el documento, pero siempre partiendo de que el tratamiento a realizar afecta sólo a los clientes de TDE y de YOIGO que han contratado la mencionada tarifa. Confirma esta interpretación el propio contenido del documento, en el que constan las siguientes instrucciones: En el punto 3.1 del reseñado documento, relativos al resultado validación de NIF y del email se señala: “La operadora móvil realizará una gestión posterior con el cliente para corrección de emais discrepantes, actualizando las bases de datos de ambas operadoras.” En el punto 3.2 del reseñado documento, relativo al resultado de la validación email se señala: que sean o no coincidentes los emails comprobados “En ambos casos se enviarán los emails a los cliente, pero en el caso de discrepancias, en emails y resto de datos coincidentes, el email que se utilizará (…) La operadora móvil realizará una gestión posterior con el cliente para corrección de emais discrepantes, actualizando las bases de datos de ambas operadoras.” Puede darse la posibilidad de que el fichero condatos de fij no contenga email del cliente. (…) “ Asimismo, en el apartado 4 del citado documento, relativo al Documento Resumen, se indica que: “El operador móvil enviará un email a los clientes con un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 resumen de los cargos asociados a los servicios prestados por los operadores (…) Se debe tener la posibilidad de emitir un documento ( en el mismo idioma que se comunica el operador origen con el cliente (…) Los documentos se enviarán a los clientes vía email con el protocolo de seguridad acordado con los operadores(…)” La interpretación alegada por la inculpada conlleva usar los datos de los afectados aunque no sean clientes de YOIGO, dando lugar a un tratamiento que desde la perspectiva de la normativa de protección vulnera el principio del consentimiento recogido en la misma. Teniendo en cuenta las consideraciones precedentes, esta Agencia entiende que a raíz de las comprobaciones que YOIGO debió efectuar antes de enviar los correos electrónicos, tuvo conocimiento de que el NIF y el email del denunciante titular de los datos incluidos en los ficheros facilitados por TDE no se correspondían con los datos personales de ningún cliente de YOIGO registrado en sus propios ficheros. De esta forma, YOIGO debería haberse abstenido de usar el correo electrónico del denunciante para remitirle los dos resúmenes de facturación denunciados, los cuales incluían datos de facturación de un servicio que la inculpada debía conocer que el afectado no había contratado, por lo que, aunque los datos del denunciante figurasen incluidos en los ficheros facilitados por TDE, podía haber evitado el tratamiento sin consentimiento que realizó al haber constatado la existencia del error a través de las validaciones del NIF y del email. Sobre este particular, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (SSTS de fecha 23 de octubre de 2006 y 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Así, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. Por otro lado, no debe olvidarse la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con YOIGO el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, por todas, sentencia de 29 de abril de 2010, R.771/2009). En definitiva, YOIGO, en su condición de responsable del tratamiento de los datos personales del denunciante analizado, no mostró la diligencia y deber de cuidado que le resultaban exigibles como empresa habituada en el desarrollo de su actividad al tratamiento de datos de carácter personal de sus clientes, y de terceros, para adecuar su conducta a las exigencias del principio del consentimiento, motivo por el cual resulta responsable, a título de culpa, de la comisión de una infracción al artículo 6.1 de la LOPD y se rechazan sus alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 VI El artículo 44.3.
  23. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, YOIGO ha tratado los datos personales del denunciante sin su consentimiento, resultando responsable, a título de culpa, de la vulneración del principio del consentimiento recogido en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
  24. b)de dicha norma. VII El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  25. a)El carácter continuado de la infracción.
  26. b)El volumen de los tratamientos efectuados.
  27. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  28. d)El volumen de negocio o actividad del infractor.
  29. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  30. f)El grado de intencionalidad.
  31. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  32. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  33. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  34. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  35. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21
  36. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  37. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  38. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  39. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. YOIGO afirma que en el presente supuesto concurren, a los efectos de la minoración cualificada de la sanción, los supuestos contemplados en los apartados
  40. e)y
  41. a)del artículo 45.5 de la LOPD. En relación con la aplicación concurrente de varios de los supuestos previstos en este apartado 5, hay que reseñar la sentencia de la Audiencia Nacional de fecha 28 de abril de 2015, que dice al respecto: “Una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido”.” Por otra parte, se considera que en el presente supuesto no se produce la circunstancia establecida en el artículo 45.5.
  42. e)de la LOPD, conforme prueba la “Escritura de Protocolización de Acuerdos Sociales y Declaración de Adquisición de Unipersonalidad Sobrevenida” de fecha 5 de octubre de 2016, cuya copia ha aportado la inculpada. Dicha pretensión debe rechazarse por los siguientes motivos:
  43. a)el documento aportado no refleja que se haya producido un ningún proceso de fusión por absorción a raíz del cual la inculpada haya sido absorbida por otra empresa. Dicha escritura se limita a recoger que como consecuencia de la transmisión de la totalidad de las acciones que integran el capital social de XFERA MÓVILES, S.A., el accionista único de la misma ha pasado a ser la entidad mercantil denominada MASMOVIL PHONE&INTERNET, S.A., UNIPERSONAL, al adquirir ésta la totalidad de las acciones que conforman el íntegro capital social de aquélla. De hecho, todos los escritos presentados durante la tramitación de las actuaciones previas E/01680/2016 y del procedimiento sancionador que nos ocupa se han formulado por la representación de XFERA MÓVILES, S.A. con posterioridad al 5 de octubre de 2016, a lo que hay que sumar que dicha empresa ha continuado desarrollando su actividad mercantil bajo dicha denominación social. Asimismo, en la mencionada Escritura de Protocolización consta que el Administrador único de la inculpada manifiesta que “subsisten las entidades a las que representa y que no han variado las circunstancias identificativas de las mismas, especialmente, las relativas a su objeto social y domicilio.”
  44. b)el tratamiento inconsentido de los datos del denunciante descrito tuvo lugar en diciembre de 2015 y enero de 2016, es decir, con anterioridad a la formalización de la escritura presentada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 Ahora bien, lo anterior no es óbice para que esta Agencia considere que en este caso opera el supuesto
  45. a)del artículo 45.5 de la LOPD, al apreciarse una cualificada disminución de la culpabilidad de YOIGO como consecuencia de la concurrencia significativa de los siguientes criterios del apartado 4 del artículo 45 de dicha norma: el volumen de tratamientos efectuados por YOIGO con los datos de carácter personal del denunciante se limitó al uso de su cuenta de correo electrónico para remitirle dos resúmenes de facturación (criterio 4.
  46. b); no consta que la inculpada haya obtenido beneficios como consecuencia de la comisión de la infracción, ya que la facturación no llegó a generarse (criterio 4.e); y la falta de constancia de que el tratamiento analizado haya causado perjuicios al denunciante o a terceras personas. (criterio 4.
  47. h)Motivo por el cual cabe la imposición de una sanción en la cuantía de 900 a € a 40.000 €, al tener la infracción cometida por YOIGO la calificación de grave, pero poder sancionarse conforme a las multas establecidas para las infracciones leves. A los efectos de graduación de la sanción a imponer, se entiende que en este supuesto operan como agravantes: La vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), teniendo en cuenta que la actividad empresarial desarrollada por la inculpada en el sector de las telecomunicaciones exige un constante y abundante manejo de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva de los principios y garantías de los titulares de los datos recogidas en la LOPD y su normativa de desarrollo; El volumen de negocio (apartado 4.d), toda vez que estamos ante uno de los principales operadores de telefonía móvil del país; En relación con el grado de intencionalidad (apartado 4.f), si bien es cierto que no es posible sostener en el presente caso que la entidad hubiera actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrió en una grave falta de diligencia al no haber adoptado mecanismos de control para asegurarse, con anterioridad al tratamiento de los datos de carácter personal del denunciante, que éste había contratado la “Tarifa Fusión Infinita a lo Yoigo”, que de haberse producido, habría evitado los hechos denunciados. Asimismo, se considera operan como atenuantes que el tratamiento realizado tiene su origen en la inclusión errónea de los datos personales del denunciante en los dos ficheros remitidos por TDE a la inculpada para la remisión de los correos electrónicos con el resumen de facturación de la “Tarifa Fusión a lo Yoigo” correspondiente a los dos meses indicados, producto conjunto que, además, ha dejado de ser comercializado. (criterio 4.
  48. j)Por lo que, de acuerdo con los criterios de graduación de las sanciones previstos en los apartados 4 y 5 del artículo 45 de la LOPD anteriormente citados, se estima adecuado a la gravedad de los hechos imponer a la inculpada una sanción en la cuantía de 5.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad XFERA MÓVILES, S.A., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  49. b)de la LOPD, una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 multa de 5.000 € (Cinco mil euros), de conformidad con lo establecido en apartados 2, 4 y 5 del artículo 45 de dicha norma.. los SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  50. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.