PS-00011-2019

1/9 938-0419 Procedimiento Nº: PS/00011/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7 de septiembre de 2018 tuvo entrada en esta Agencia la reclamación presentada por Dña. A.A.A. (en adelante, la reclamante), en la que expone que XFERA MÓVILES, S.A. (YOIGO) con NIF A82528548 (en adelante, la reclamada) había incluido de forma indebida sus datos personales en los ficheros de morosidad, en concreto, en el fichero de solvencia patrimonial y crédito Badexcug, a pesar de haber pagado la deuda dentro del plazo concedido al efecto por la reclamada. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). En fecha 9/10/2018 la Inspección de Datos de la AEPD dirige un requerimiento informativo a XFERA MÓVILES, S.A. El Certificado del servicio del “Soporte del servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada” deja constancia de que el escrito de requerimiento se envió por la AEPD a la entidad siendo la fecha de puesta a disposición el 09/10/2018 a las 12:49 horas y la fecha de aceptación por la reclamada el 16/10/2018 a las 11:53. XFERA MÓVILES, S.A., no respondió al requerimiento por lo que la AEPD lo reiteró a fin de que analizara la reclamación formulada por la reclamante y le comunicara la decisión que adoptara al respecto. Este segundo requerimiento informativo se envió electrónicamente el 20/11/2018 y consta recibido por la reclamada el 26/11/2018 a las 11:06, tal y como lo acredita el el “Soporte del servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada”. XFERA MÓVILES, S.A tampoco respondió al segundo requerimiento que le notificó esta Agencia. Mediante Diligencia de fecha 01/03/2019 se incorpora al expediente administrativo la información que respecto a la entidad reclamada consta en el Registro Mercantil sobre su capital social suscrito y desembolsado -asciende a 1.000.000 euros- y sobre la fecha de inicio de las operaciones -el 04/01/2000-. TERCERO: Con fecha 13 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a XFERA MÓVILES, S.A., por la infracción del artículo 5.1.

1. d)del RGPD tipificada en el artículo 83.5.
2. a)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es citado RGPD y calificada como infracción muy grave en el artículo 72.1.
3. a)de la LOPDGDD. CUARTO: Notificado el citado acuerdo de inicio, XFERA presentó escrito de alegaciones en el que, en síntesis, manifiesta que se acuerde el sobreseimiento del expediente con el consiguiente archivo de actuaciones; subsidiariamente, para el caso de que no prosperase su pretensión, que se le impusiera la mínima sanción legalmente procedente. En apoyo de tales pretensiones invoca los siguientes argumentos: 1.- Manifiesta que los datos personales de la denunciante han sido tratados de acuerdo con el principio de exactitud. Afirma que el tratamiento de los datos personales se efectuó en todo momento de acuerdo con el artículo 5.1.
4. d)RGPD. De ello concluye que no están presentes los elementos integrantes del tipo infractor, por lo que la AEPD, en su opinión, incurre en una vulneración del principio de tipicidad. Explica que los datos de carácter personal de la denunciante fueron tratados en virtud del consentimiento recabado por YOIGO al realizar la contratación correspondiente. 2.- Respecto a la inclusión de los datos de la denunciante en ficheros de solvencia expone que no se cumplen los elementos del tipo de las infracciones que se le imputan. A ese respecto afirma que la inclusión en el fichero ASNEF de los datos del denunciante se produjo con todas las condiciones que legalmente se exigen. 3.- Considera que la AEPD ha vulnerado los principios de presunción de inocencia y tipicidad. Indica que nos encontramos ante datos de carácter personal relativos al incumplimiento de obligaciones dinerarias (impago de una deuda originada por la contratación de los servicios de telecomunicaciones que se devengó correcta y legítimante) que es determinante para enjuiciar la solvencia económica de la denunciante. Nos encontramos con la existencia previa de una deuda cierta, vencida, exigible, que ha resultado impagada y respecto de la cual no se había entablado reclamación judicial, arbitral o administrativa alguna por parte de la denunciante. lo que no es suficiente a su juicio, dadas las circunstancias que concurren, para poder sancionar sin infringir el principio de tipicidad. Señala que sí se realizó un requerimiento previo de pago y que el tratamiento de los datos de la denunciante al fichero de información sobre solvencia patrimonial, por parte de YOIGO, se ajustó plenamente a Derecho. Que no se ha cometido la infracción por parte de la agencia se le imputa dado que se incurre en el error de confundir exactitud con razonabilidad exigiendo un comportamiento rigorista que excede de lo que puede entender como una gestión ordenada y razonable. 4. Respecto a las circunstancias que inciden en la determinación del importe de la sanción, discrepa de la decisión de la Agencia y considera que los criterios recogidos en el artículo 83.2 del RGPD pone de manifiesto la concurrencia de todos ellos de forma favorecedora. 3/9 Considera errónea la aplicación que la AEPD hace en el acuerdo de inicio en el que, tras recoger una amplia lista de criterios favorecedores, únicamente pone como reparos una supuesta inactividad de esta operadora. Al respecto señala que fue debido a motivos justificados derivados de circunstancias internas pero que, en cualquier caso, no meren atención, por cuanto nunca podrán implicar una atribución automática de reproche alguno. QUINTO: Con fecha 15 de abril de 2019, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, así como los documentos aportados por la reclamada. SEXTO: El 21 de mayo de 2019, se notificó a la reclamada la propuesta de resolución formulada en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a, XFERA MÓVILES, S.A. (YOIGO) con NIF A82528548, por una infracción del Artículo 5 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 60.000,00 € (sesenta mil euros)>>. SÉPTIMO: En fecha 4 de junio de 2019 tuvo entrada en esta Agencia, un escrito de la representación de la reclamada, en el que realizaban las oportunas alegaciones a la propuesta de resolución. En este escrito de alegaciones se solicita el archivo del presente procedimiento sancionador o subsidiariamente que se imponga una sanción por infracción leve en su mínima cuantía, reiterando todo lo expresado y manifestado en el escrito de alegaciones al acuerdo de inicio del procedimiento sancionador, señalando error en la interpretación de la ley, dado que se hace referencia al art. 5.1
5. d)del RGPD, en relación con que la reclamada no contestó a los requerimientos de esta Agencia, siendo que el art. 5.1
6. d)se refiere al principio de exactitud de los datos. Además, manifiesta que el error anterior es causante de indefensión, vulneración del principio de legalidad y no vulneración del principio de exactitud. HECHOS PROBADOS 1.La notificación de requerimiento de pago fue llevada a cabo con fecha 14 de agosto de 2018 por Xfera Móviles (Yoigo), en la que se reclamaba el pago de la deuda contraída por la reclamante por importe de XXX euros y se advertía de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito de mantenerse la situación de impago, dando un plazo de 15 días para que regularizara la situación. 2.Transferencia realizada por la reclamante el 24 de agosto de 2018 a Xfera Móviles (Yoigo) por un importe de XXX euros, y remisión del justificante de pago de la operación realizada al reclamado, en la misma fecha. 3.Fecha de alta y baja en Badexcug por Xfera Móviles, S.A. 26 de agosto y 2 de septiembre de 2018. 4.Experian, en su escrito de fecha 5 de diciembre de 2018, manifiesta que a fecha de hoy no hay ningún dato de Dña. A.A.A., en el fichero de Badexcug. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5.Se notifica a Xfera Móviles, S.A. con fecha 9 de octubre de 2018, la reclamación efectuada por la reclamante a esta Agencia. El día 20 del mes siguiente, se reitera dicha notificación. No habiendo contestado dicha entidad a dichos requerimientos. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa a la reclamada la comisión de una infracción por vulneración del artículo 5 del RGPD, es decir, los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “Exactitud”. El precepto dispone: “1. Los datos personales serán: (…)
7. d)“exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan (<<exactitud>>)” La infracción se tipifica en el artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” establece: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: 1 Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” (El subrayado es de la AEPD) La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 4 regula también el principio de exactitud de datos, señalando en su apartado 1. “Conforme el artículo 5.1.
8. d)del RGPD los datos serán exactos y, si fuera necesario, actualizados”, y en el 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que 5/9 supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes:
9. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE)2016/679.” III A la vista de la documentación que obra en el expediente se llega a la conclusión que la reclamada, vulneró el artículo 5.1d) del RGPD. Pues bien, XFERA trató los datos personales de la reclamante de forma indebida, y esto es así, debido a que ha quedado acreditado en el expediente que informó los datos personales de la reclamante al fichero Badexcug el 26 de agosto de 2018, cuando la notificación de requerimiento de pago por la misma fue llevada a cabo con fecha 14 de agosto de 2018, en la cual se reclamaba el pago de la deuda contraída y se advertía de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito, dando un plazo de 15 días para que regularizará la situación. Por tanto, la postura de la reclamante que el 24 de agosto de 2018, antes del transcurso del plazo de 15 días ofertados por la reclamante, procede a regularizar su situación, remitiendo en dicha fecha el justificante de pago. Sobre este particular, debemos señalar que la reclamada dos días después informa de sus datos al fichero Badexcug, cuando dicha deuda ya estaba saldada, por lo tanto, no era exigible y los datos eran inexactos. Es por lo que se considera que XFERA no obró con la diligencia que era exigible pues debía de haber verificado que la deuda informada a BADEXCUG, era inexacta. Cabe además tener en cuenta que la reclamada no contestó a los requerimientos de esta Agencia, tal como reconoce la misma en su escrito de alegaciones, aunque no es objeto de este procedimiento. Asimismo, se rechaza lo alegado por Xfera, está claro que, en todo momento se hace referencia en la propuesta de resolución a que la reclamada trató los datos personales de la reclamante de forma indebida, y que no se sanciona a la operadora por falta de contestación a los requerimientos de esta Agencia, sino por vulnerar el principio de exactitud del artículo 5.1d) del RGPD, en este caso concreto, actuó de forma contraria al principio de exactitud consagrado en el artículo 5.1
10. d)del RGPD, en relación con el artículo 4 de la LOPDGDD, toda vez que, XFERA incluyó indebidamente los datos de la reclamante en el fichero Badexcug, sin que dicha inscripción hubiese respondido entonces a su situación, al no cumplir con los requisitos establecidos en la normativa precitada sobre protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es IV Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la persona denunciante son datos que figuran en sus propios ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. Conforme a lo expuesto, dicha la entidad no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). Todo ello, sin que los datos mantenidos en el fichero respondiera a la situación actual de la denunciante, pues esta entidad incluyó sus datos personales en Badexcug, siendo una deuda no exigible ya que la denunciante pago en el plazo concedido por la reclamada. V A fin de determinar la multa administrativa que procede imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
11. a)a
12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
14. b)la intencionalidad o negligencia en la infracción;
15. c)cualquier medida tomada por el responsable o encargado del tratamiento 7/9 para paliar los daños y perjuicios sufridos por los interesados;
16. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
18. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
19. g)las categorías de los datos de carácter personal afectados por la infracción;
20. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
21. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
23. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
24. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
25. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
26. a)El carácter continuado de la infracción.
27. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
28. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
29. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
30. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
31. f)La afectación a los derechos de los menores.
32. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
33. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
34. a)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es RGPD de la que se responsabiliza a XFERA MÓVILES, S.A. (YOIGO), se estiman concurrentes los siguientes factores: 2. El alcance meramente local del tratamiento de datos efectuado por la reclamada. 3. La finalidad del tratamiento era la razonable en la hipótesis de que la reclamada estuviera legitimada para el tratamiento efectuado. 4. Sólo una persona ha resultado afectada por la conducta infractora. 5. El daño causado al afectado por el tratamiento de sus datos no llega a ser muy significativo. 6. La duración del tratamiento efectuado por la reclamada no se ha traducido en un daño o perjuicio grave. 7. No se tiene constancia de que la reclamada hubiera obrado dolosamente ni con una negligencia relevante. 8. La reclamada no adoptó ninguna medida para corregir los efectos de la infracción ni respondió al requerimiento que le dirigió la Inspección de la AEPD. 9. Existe una evidente vinculación entre el tratamiento de datos de carácter personal y la actividad que desarrolla la reclamada. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a XFERA MÓVILES, S.A. (YOIGO) con NIF A82528548, por una infracción del Artículo 5.1
35. d)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 60.000,00 € (sesenta mil euros). SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A.. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
36. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se 9/9 encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
37. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es