← España

PS-00029-2015

1/15 Procedimiento Nº PS/00029/2015 RESOLUCIÓN: R/01633/2015 En el procedimiento sancionador PS/00029/2015, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA SAU, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 27/01/2014 tiene entrada en esta Agencia una denuncia de A.A.A. contra VODAFONE ESPAÑA SAU por reclamarle una deuda por los servicios de la línea ***TEL.1 que niega haber contratado. Adicionalmente, ha sido incluido en el fichero ASNEF. Aporta la siguiente documentación: - Copia del contrato con VODAFONE correspondiente a la línea ***TEL.1, fechado el 14/08/2013, recogiéndose los datos del nombre y DNI, dirección en una calle en Cartagena, diferente de la informada por el denunciante, en Madrid. En el contrato se incluye como correo electrónico del contratante ......@hotmail.es. El denunciante declara que el contrato se lo enviaron tras solicitarlo el 11/11/

  1. En el apartado cliente no consta firma alguna. El denunciante no reconoce el número móvil de contacto que se contiene, la dirección e mail que contiene, ni la cuenta bancaria. Además, se observa que la fecha de nacimiento que obra en el contrato es de 1973, cuando en el DNI del denunciante figura
  2. - Facturas emitidas al denunciante por VODAFONE que el denunciante obtuvo solicitándolas a la denunciada, fechadas el 30/08/2013 y 30/09/2013 por importes de 36,99 € y 49,31 € respecto de la línea telefónica número ***TEL.1, figurando la dirección de Cartagena. - Escritos de fecha 23/9, 30/10 y 7/11/2013 por el que VODAFONE reclama al denunciante las deudas por importes de 36,99 y 86,30 € -los dos últimos-, constando como dirección del denunciante de Madrid, desconociéndose el motivo. - Denuncia presentada en fecha 4/10/2013 ante la Guardia Civil por la suplantación de identidad en la contratación de la línea telefónica ***TEL.
  3. - Reclamación fechada el 7/10/2013, presentada por el denunciante ante VODAFONE y mediante el que informa a la operadora de la reclamación de cantidad que se le está realizando indebidamente, pues niega haber contratado la línea ***TEL.1, niega residir en la dirección a la que se emiten las facturas y niega, igualmente, ser titular de la cuenta bancaria en la que están domiciliados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 los pagos de las facturas emitidas por la contratación de dicha línea telefónica. Figura una nota manuscrita del denunciante según la cual dicha carta ha sido remitida por correo certificado con acuse de recibo, si bien no aporta justificación de ello. - Reclamación remitida por el denunciante a VODAFONE vía fax en fecha 15/11/2013 en la que, en esencia, reitera el de fecha 7/
  4. - Escrito de fecha 28/11/2013 por el que se informa por EQUIFAX al denunciante de sus datos incluidos en el fichero ASNEF a instancias de VODAFONE el 14/11/2013 ya están disponibles para el resto de entidades participantes en el fichero. Este escrito se manda a la dirección del denunciante de Madrid, desconociéndose el motivo. Escrito de fecha 12/12/2013 por el que el denunciante se dirige al responsable del fichero ASNEF solicitando el ejercicio del derecho de cancelación respecto de la deuda informada por VODAFONE. Escrito de EQUIFAX IBERICA, entidad responsable del fichero ASNEF en que responde a la solicitud de cancelación del denunciante informándole que no existen datos inscritos asociados a su identificador. - Denuncia presentada en fecha 10/12/2013, ante la Guardia Civil mediante la cual reitera la denuncia la suplantación de identidad en la contratación de la línea telefónica ***TEL.1, incluyendo el escrito de fecha 25/11/2013 anteriormente referenciado. - Escrito de fecha 17/12/2013 por el que VODAFONE contesta a la OMIC en respuesta a la solicitud de información realizada por este organismo con motivo de la reclamación planteada por el denunciante, informando que: <<Una vez realizadas las comprobaciones necesarias, le informamos que nuestro departamento encargado de detectar el fraude, el día 11/11/2013, ante reclamación telefónica realizada por el Don A.A.A., ha llevado a cabo las siguientes acciones: - no reclamar cantidad alguna por el servicio ***TEL.
  5. - no impedir a Don A.A.A. poderse dar de alta en Vodafone (si lo quisiera en un futuro), puesto que no tiene importes pendientes en relación al servicio anteriormente indicado. - exclusión automática de cualquier fichero de solvencia o impagos en que el titular hubiera sido incluido.>> SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información teniendo conocimiento de que: A) Con fecha 24/4/2014 EQUIFAX IBERICA informa: - Respecto del fichero ASNEF: No consta información respecto del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 - Respecto del fichero de BAJAS: Constan los datos del denunciante informados por VODAFONE fecha de alta y baja en ASNEF de 14/11/2013 - 3/12/2013, el importe es de 86,30 €, figurando como dirección la coincidente con la que el denunciante hace constar en su denuncia, de Madrid. B) Con fecha 30/04/2014 VODAFONE informa: Aporta imágenes extraídas de sus sistemas donde consta información relativa al denunciante, apareciendo su nombre y DNI, consta como dirección una en la localidad de Cartagena, distinta de la informada por el denunciante en su denuncia que es Madrid. Según las imágenes aportadas, se puede apreciar que el denunciante dispone de una única cuenta Vodafone con número ***CTA.1 que tiene asociada una sola línea telefónica con número ***TEL.1, con fecha de alta el 13/08/2013, y fecha de baja definitiva el 12/11/2013 por fraude. También consta entre las imágenes aportadas, el listado de las facturas emitidas, informando la entidad que no ha sido abonada ninguna de ellas, por lo que se acumuló una deuda de 701,80 €, si bien no aporta copia individualizada de las emitidas. Figuran en el listado las de 36,99 € de 8/2013, de 49,31 € de 9/2013, 0 € de 10/2013, 701,8 € de 11/2012 y 0 € de 12/
  6. Asimismo, consta en dichas imágenes que el servicio fue catalogado como fraudulento por VODAFONE, por lo que la entidad ha dejado de reclamar la deuda al denunciante. Aporta igualmente la operadora imágenes de pantalla donde se observan los contactos registrados con el denunciante. Según dichas imágenes: o En fecha 11/11/2013 el denunciante informa a la entidad que se le está reclamando una deuda por una línea telefónica que niega haber dado de alta, por lo que se trataría de un fraude. o En fecha 12/11/2013 se anota que se ha revisado y calificado como fraude, cerrándose el caso. o En fecha 13/12/2013 se registra un correo electrónico fechado el 3/12/2013 recibido de la OMIC de Tres Cantos por el que se traslada a VODAFONE la reclamación planteada por el denunciante. Aporta copia del expediente en papel de las reclamaciones, incluyendo: o Copia del escrito de fecha 9/8/2013, por el que VODAFONE da traslado de una copia de los dos contratos suscritos. La dirección de envío coincide con la dirección de contratación, y es distinta de la informada por el denunciante en su denuncia. En el contrato, fechado el 14/08/2013, denominado “de servicios de comunicaciones móviles pospago” se contienen los datos del denunciante, y aparece sin firmar. Anexo al mismo figura el que rige el precio del terminal, modelo y la permanencia en el servicio, sin figurar firma de cliente. o Copia de la carta de fecha 17/12/2013 remitida por la entidad a la OMIC de Tres Cantos en respuesta a la reclamación recibida. El documento es coincidente con el aportado por el denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 Informa VODAFONE que la contratación se efectuó por el canal online. Aporta copia del documento generado tras la compra online realizada donde se puede comprobar al final del documento que consta la fecha, hora y dirección IP del pedido, esto es el check de aceptación de la política de privacidad y las condiciones de contratación, tratándose de una portabilidad desde ORANGE de la línea ***TEL.1, asimismo se adjunta el albarán de entrega del terminal elegido el 16/08/2013 figurando una firma disimilar a la del denunciante en su denuncia, y los datos personales precumplimentados. Informa la entidad que todas las contrataciones realizadas a través de la Tienda Online siguen el procedimiento establecido en el procedimiento de contratación, (del que aporta copia, documento 7) “activación de servicios” que se refiere a los canales para activar el servicio, ningún aspecto relacionado con el proceso de alta a través de la web, ni se contienen requisitos de validación y confirmación de identidad del cliente. Añade que los pedidos de la Tienda Online de VODAFONE pasan por validaciones de fraude y scoring antes de activarse la línea y entregar el pedido. Además, la entrega del pedido se hace por correo certificado y no se entrega nada sin que el cliente presente su DNI que acredite que el pedido lo ha realizado la persona que efectuó la contratación. TERCERO: Con fecha 21/01/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a VODAFONE por una infracción del artículo 6.1 y otra del 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.b) y 44.3.c) de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 16/02/2015 la denunciada manifiesta: 1) La baja del servicio el 12/11/2013 se produjo a raíz de la primera reclamación telefónica recibida del Sr. A.A.A. el 11/11/2013 donde puso en su conocimiento una supuesta alta fraudulenta. VODAFONE tipificó de manera inmediata el servicio como fraudulento el día 12/11 procediendo a cancelar la deuda. 2) En el presente caso consta, por un lado, documentación enviada por VODAFONE al correo electrónico facilitado por el Sr. A.A.A. al hacer la contratación por la tienda on line (contrato, resumen de lo contratado y albarán) y, por otro que las facturas emitidas tras el alta tenían consumo (lo que acredita que el servicio contratado llegó a destino), VODAFONE estuvo requiriendo la deuda al Sr. A.A.A. derivadas de las facturas emitidas con consumo y no abonadas de tal forma que se procedió a su inclusión en el fichero ASNEF el 14/11/
  7. Sin embargo, y dado que VODAFONE, en ese mismo momento, tipificó la contratación como fraudulenta, procedió a excluir sus datos del fichero de solvencia, hecho que ocurrió el 3/12/
  8. La petición de VODAFONE de inclusión se efectuó con anterioridad al día que se recibió la primera llamada del Sr. A.A.A. de ahí que la inclusión se produjese una vez que el servicio estaba tipificado como fraudulento. De igual modo, en la primera carga de exclusión que hubo tras su inclusión, sus datos fueron excluidos, esto es, el 3/12/
  9. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Adicionalmente, cuando VODAFONE recibió la petición de la OMIC, el asunto estaba resuelto de forma satisfactoria para el cliente sin perjuicio de que se disponía de documentación relativa al alta y al consumo. 3) A la hora de fijar la sanción adecuada y proporcional al presente caso en virtud de los hechos, resultan de aplicación lo previsto en los apartados 4 y 5 del art. 45 de la LOPD. 45.5 b): VODAFONE regularizó la situación de forma diligente nada más tener constancia de lo ocurrido. 45.5.c) VODAFONE dispone de documentación que acredita que inicialmente el alta se finalizó de forma correcta ya que existió un envío por mail de las condiciones contratadas, el albarán de entrega del producto contratado en destino y existió consumo en el servicio, es decir, tras la finalización del proceso, aparentemente no existían circunstancias que pudieran llevar a VODAFONE a considerar que nos encontrásemos ante un alta fraudulenta, y el propio cliente manifiesta que recibió los requerimientos previos de pago pertinentes previos a su inclusión, es decir el proceso de principio a fin era ajustado a la legalidad, todo ello sin perjuicio de que finalmente y tras el primer contacto del Sr. A.A.A. se cerró el asunto de forma inmediata tipificándolo como fraudulento, y d) VODAFONE ha reconocido su culpabilidad tal y como se desprende del presente escrito. 45.5 a) de la LOPD en relación con el 45.4 de la LOPD, considera que concurren varias de las circunstancias en el mismo, en tanto que, no existe carácter continuado atendiendo a los tiempos de vida del cliente hasta la baja, el tiempo que estuvo incluido en ASNEF y el tiempo en resolver el asunto entre la entrada del primer contacto y la ejecución de las acciones, sólo se trata de los datos de un cliente, el tratamiento se fundamentaba en la apariencia de un contrato correctamente realizado unido a un consumo efectivo, y una inclusión en ficheros previo requerimiento de deuda, por lo que la actividad estaba realizándose de forma correcta y ajustada a la legalidad inicialmente, en cuanto al volumen de negocio, está en descenso en los últimos años, y en este caso lo que ha sufrido son pérdidas derivadas de una contratación con entrega de terminal y consumo en el servicio, no resulta intencionado a VODAFONE dar altas cuando el proceso de contratación deja suficiente documentación como para considerar de inicio que no existe controversia con la misma, y no existen perjuicios acreditados y la documentación aportada permite acreditar un procedimiento ajustado a la legalidad. QUINTO: Con fecha 22/05/2015 se emite propuesta de resolución con el literal: “PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA SAU. con multa de 20.000 €, por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b) de dicha norma, de conformidad con el artículo 45.1, 2 4 y 5 de la LOPD. SEGUNDO: Que por el Director de la Agencia Española de Protección de Datos se sancione a VODAFONE ESPAÑA SAU. con multa de 20.000 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c) de dicha norma, de conformidad con el artículo 45.1, 2, 4 y 5 de la LOPD.” Frente a dicha propuesta se recibe escrito de la denunciada de 15/06/2015 en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 que acepta la propuesta. HECHOS PROBADOS 1) Los datos del denunciante figuran en VODAFONE relacionados con el alta de la línea telefónica ***TEL.1 desde 13/08/2013 a 12/11/2013 (baja por fraude). La contratación se produjo a través de la web “tienda online”

(82). 2) En la contratación online, la denunciada aporta copia de la impresión de los datos introducidos, figurando fecha del pedido 3/08/2013, fecha nacimiento en 1973, envío de contrato por e mail, y además de los identificativos del denunciante figura que es una portabilidad desde ORANGE, la línea a portar ***TEL.1, como dirección una de Cartagena, junto con la adquisición de un terminal. La copia del albarán de entrega de este, de 16/08/2013 aparece precumplimentada con los datos del denunciante y una firma no similar a la del denunciante en su denuncia. (129 a 132). También se aporta copia del contrato y anexo fechado el 14/08/2013 sin firmar por el cliente (99,100) 3) VODAFONE no aportó copia de procedimiento implantado para la validación de la identidad del contratante en los contratos on line, ni acreditó haber efectuado algún procedimiento tendente a dicha identificación (44, 82) aportando una “Guía de activación” que no responde a lo pedido. (125 a 128). 4) Se desconoce el motivo por el que en las reclamaciones de pago efectuadas al denunciante por parte de VODAFONE de 23/09 30/10,7/11/2013 (112,116, 117) se remiten a la dirección de (C/..............1), dirección del denunciante en su denuncia, cuando los datos que la denunciada tiene de la línea impagada y del cliente eran de Cartagena, localidad donde el denunciante reconoce no residir.
(2)5) Los datos del denunciante estuvieron incluidos en el fichero ASNEF desde 14/11/2013 a 3/12/2013 por impago de 86,30 euros figurando como dirección (C/..............1) que no se corresponde con la del alta del contrato, aunque coincide con la del denunciante (54 a 56,61). Consta que el denunciante recibió dicho comunicado pues lo aporta en su denuncia
(32). El denunciante ejercitó su derecho de cancelación el 19/12/2013, no figurando entonces sus datos incluidos
(63). 6) En los sistemas de la denunciada figura registrado el 11/11/2013 que se produce una llamada del denunciante no reconociendo la contratación de la línea ni la deuda que se le reclama (90, 91). 7) El denunciante interpuso reclamación ante OMIC, firmándola el 2/12/2013, y se trasladó para alegaciones a la denunciada el 3/12/2013, respondiendo esta el 17/12/2013 que no reclamaría la cantidad derivada del servicio de la línea y se excluían sus datos del fichero de solvencia. (94, 91, 38, 37). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 en relación con el artículo 36 de la LOPD. II Se imputa a VODAFONE el tratamiento sin consentimiento de los datos personales de denunciante ligados al alta de una línea de teléfono. El artículo 6.1 y 2 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. La Sentencia de la Audiencia Nacional de 21/11/2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el artículo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 de los datos corresponde únicamente a su titular” En el presente caso, el denunciante niega haber contratado con la denunciada el alta de la línea y la denunciada dispone de sus datos proporcionados a través de contratación a distancia efectuada a través de Internet en la tienda on line de la denunciada. Este sistema caracterizado por que no existe presencia física de los participantes ha de tener en cuenta además de las normas contractuales y de consumo, se debe comprobar y obtener diligentemente ese consentimiento, tendiendo a poner los medios para acreditar que la persona que está en línea y dice ser quien es, efectivamente responde a dicha identidad y por tanto la que contrata. El mero hecho de introducir datos y enviar la copia de las condiciones del contrato no supone obtención del consentimiento. Tampoco la entrega del terminal o los consumos producidos. A este respecto, la Sentencia de la Audiencia Nacional de 11/05/2001, dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” En el momento en que se dan de alta los datos del denunciante, en la contratación electrónica o a distancia, es aplicable el R.D. 1906/1999 regula la contratación telefónica o electrónica con condiciones generales en desarrollo del artículo 5.3 de la Ley 7/1998, de 13/04, de condiciones generales de la contratación, precepto que establece: “en los casos de contratación telefónica o electrónica será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma” (el subrayado es de la AEPD). El R.D. 1906/1999 reitera la obligación de confirmar documentalmente la contratación efectuada por vía telefónica, electrónica o telemática y dispone en su artículo 5.1 y 2 lo siguiente: “1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y el momento de sus respectivos envíos, corresponde al predisponente. 2. A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aún cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes de la legislación aplicable.” En el presente supuesto no se ha identificado en modo alguno al cliente que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 introduce los datos del denunciante, constando una firma en el albarán de entrega del terminal, el 16/08/2013 que no se asemeja a la del denunciante. Es decir, la denunciada dio de alta la línea sin disponer de ninguna documentación ni ninguna clase de soporte para justificar dicha alta y esa actuación es claramente contraria a las mínimas exigencias de una diligencia básica en relación a una empresa dedicada a la contratación de líneas de teléfono sea en modalidad telefónica o electrónicamente como este caso. La Sentencia de la Audiencia Nacional, de 31/05/2006, Recurso 539/2004, en su Fundamento de Derecho Cuarto, señala: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”, y continúa, ”Resulta, por tanto, que tal empresa demandante no sólo no ha aportado ningún elemento probatorio que acredite la celebración telefónica del contrato, sino que tampoco ha acreditado el cumplimiento de las garantías y cautelas que determinan las normas descritas” La sentencia de la Audiencia Nacional de 27/01/2011 recurso 694/2009, refiere que la contratación telefónica no exime a la operadora de adoptar las cautelas necesarias para asegurarse de la identificación fiable, obligación prevista por el artículo 5.2 del citado Real Decreto 1906/1999, y que cobra especial relevancia en supuestos como el presente en que no consta contrato suscrito por escrito: “Sin embargo en el caso de autos la entidad recurrente no adoptó ninguna medida o cautela para asegurarse de que la persona que estaba solicitando la migración de la línea telefónica a contrato era quien decía ser, no habiendo recabado materialmente la aportación del DNI ni documentación alguna para verificar la identidad del contratante, contándose únicamente con la información por el facilitada verbalmente por teléfono.” La falta de aportación de esta documentación permite concluir que se admitió la contratación sin la aportación de documentación suficientemente acreditativa de la personalidad de quien contrataba. Por ello, se estima que la denunciada trató los datos del denunciante sin su consentimiento, emitió facturas, requirió el pago e informó al fichero de solvencia, incurriendo en la infracción del artículo 6.1 de la LOPD. III El artículo 44.3.
  2. b)de la LOPD, tipifica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. La denunciada trató los datos personales de la denunciante sin su consentimiento por lo que se ha vulnerado el principio del consentimiento previsto en el artículo 6 de la LOPD. IV Se imputa a VODAFONE una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, que determina: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38 del Reglamento de desarrollo de la LOPD, “Requisitos para la inclusión de datos” dispone lo siguiente: 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  3. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…). Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. En este caso, VODAFONE ha emitido diversas facturas asociadas a los datos personales del denunciante sin que haya acreditado el consentimiento para el tratamiento de sus datos, existiendo una deuda atribuida al denunciante que da lugar a inclusión en fichero de solvencia de EQUIFAX. Esto es, ha facilitado una información que no es exacta ni responde a la situación actual del denunciante, ya que no se acredita haber prestado el consentimiento en qué consiste la prestación del servicio, y por tanto no resulta cierta, ni veraz la anotación de sus datos en el fichero de solvencia, por lo que se ha vulnerado el principio de calidad de datos previsto en el artículo 4. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 Además, el hecho de producirse la reclamación de pagos por la denunciada en el domicilio del denunciante así como la notificación en el fichero en el mismo, en Madrid, aparece como una incógnita no desvelada por la denunciada, a la que no le constaba en sus sistemas sino el domicilio proporcionado a través de la web, en Cartagena, sin haber explicado porque desde septiembre 2013 conocía el domicilio en Madrid del denunciante. Los hechos anteriormente relatados son contrarios al principio de calidad de datos consagrado en el artículo 4.3, y en relación con el 29.4 de la LOPD. V Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial y crédito como BADEXCUG y ASNEF suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la denunciante son datos que figuran en los ficheros propios automatizados de la denunciada. Adicionalmente, son comunicados al responsable del fichero de solvencia a través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (artículo 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En este sentido se pronuncia la Audiencia Nacional en su Sentencia de 18/01/2006, Recurso 0236/2004, “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Conforme al citado artículo. 3.
  4. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decide sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3, en su apartado c), delimita en qué consiste el tratamiento de datos incluyendo en tal concepto “las operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Es preciso, por tanto, determinar que en el presente caso, VODAFONE trató automatizadamente los datos relativos a la denunciante en sus propios ficheros y los comunicó al fichero ASNEF decidiendo sobre la finalidad en este, su contenido y uso del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 tratamiento. Así, a la decisión sobre incluir los datos se une la de mantenerlos y dar de baja. De lo anterior se deduce que las comunicaciones de los importes al fichero citado, implica que VODAFONE facilitó una información que no respondía a la situación exacta, veraz y actual del denunciante, lo que supone una clara vulneración del principio de calidad de datos, de la que debe responder, por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en ficheros de solvencia patrimonial y crédito. VI El artículo 44.3.
  5. c)de la LOPD tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. VII La cuestión que se suscita en el presente caso, no es tanto dilucidar si la denunciada trató los datos de carácter personal del denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato. Se estima que la denunciada no adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, apreciándose falta de diligencia en su actuación, para asegurarse de que los datos que constan en sus sistemas corresponden a la persona que realmente dice ser quien es, procediendo en consecuencia a la vulneración del principio del consentimiento consagrado en el artículo 6 LOPD. La denunciada al solicitársele el modo que tiene de comprobar y validad la identidad en las contrataciones on line aporta un documento que nada tiene que ver con dicho aspecto, pues nada explica de dichos procesos. Del detalle aportado por la denunciada sobre las cautelas en el procedimiento de recogida de datos a través de su web, no se asegura que la persona de la que se recaba los datos sea quien efectivamente dice ser. La falta de constancia de procedimiento permite coadyuvar la adveración de que la persona cuyos datos se dan de alta en la aplicación puede ser cualquiera al no establecerse medidas diligentes tendentes a la identificación de dicho cliente. A ello se refiere la Audiencia Nacional en la sentencia de 8/06/2006 (Rec. 244/04) que “si bien ni la normativa civil o mercantil, ni la específica aplicable a los consumidores y usuarios, establece que sea condición necesaria la solicitud de una copia del DNI o pasaporte a todos aquellos consumidores o usuarios que quieran contratar un determinado servicio con un empresario o profesional, ello no puede interpretarse, en el sentido de que le excuse de exigir medidas de prevención. Por tanto, decíamos en dicha sentencia "no es obligatoria la copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse, a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la entidad demandante "Se trata en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 definitiva de que "se verifique la identidad del solicitante de los servicios mediante la exigencia de fotocopia del documento que acredite dicha identidad, a fin de contratar y facilitar el servicio a la persona que efectivamente lo reclama". Ello denota la deficiente diligencia que se muestra en la recogida de datos de VODAFONE. VIII El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  6. a)El carácter continuado de la infracción.
  7. b)El volumen de los tratamientos efectuados.
  8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  9. d)El volumen de negocio o actividad del infractor.
  10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  11. f)El grado de intencionalidad.
  12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 diligente.
  18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La denunciada solicita que se aplique el artículo 45.5
  21. d)de la LOPD por reconocer su responsabilidad en los hechos, consecuente con la calificación de la baja de línea como posible fraude. Por dicho motivo resultaría aplicable en ambas infracciones la citada reducción. En cuanto a la diligencia en la subsanación de la situación, la denunciada no aclara como tiene el domicilio del denunciante en Madrid desde septiembre 2013, sin descartarse una posible puesta de contacto o una remisión de alguna reclamación por el denunciante que la denunciada no explica en cuanto a fecha de recepción y su contenido, disponiendo a partir de entonces del citado domicilio. En el presente caso, a efectos del artículo 45. 4 de la LOPD, se debe tener en cuenta que se dieron de alta los datos en 8/2013, se trataron emitiendo facturas y reclamando el pago, hasta diciembre 2013, conociendo el denunciante los requerimientos y su inclusión, teniendo en cuenta que la denunciada es una entidad que trata datos de forma habitual, se imponen dos sanciones de 20.000 euros cada una. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA SAU, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  22. b)de dicha norma, una multa de 20.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad VODAFONE ESPAÑA SAU, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  23. c)de dicha norma, una multa de 20.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA SAU y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.