PS-00031-2015

1/12 Procedimiento Nº PS/00031/2015 RESOLUCIÓN: R/01608/2015 En el procedimiento sancionador PS/00031/2015, instruido por la Agencia Española de Protección de Datos a la entidad CABLEUROPA, S.A.U. (en la actualidad VODAFONE ONO, S.A.U.), vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 28 de enero de 2014 tuvo entrada en esta Agencia un escrito de D. A.A.A., con NIF Q.Q.Q., (en adelante el denunciante) en el que, en relación con la entidad CABLEUROPA, S.A.U. (en la actualidad VODAFONE ONO, S.A.U., en adelante entidad denunciada u ONO), declaraba que: <<Mi denuncia está basada en los incidentes sucedidos con la empresa telefónica Ono. El día 26/11/13 llegó a mi casa un mensajero que traía tres terminales móviles de Ono, los cuales venían a mi nombre. Puesto que yo no los había solicitado no los acepté, y acto seguido contacté con Ono para pedir una explicación. En atención al cliente me remitieron a portabilidades. Cuando expliqué la situación me dijeron que era posible que alguien hubiese operado en mi nombre, utilizando también mi DNI. Se procedió entonces a cancelar las líneas, e interpuse una denuncia en la comisaría de policía de Alcorcón. No obstante, a la semana siguiente, volvió otro mensajero con otros tres terminales que de nuevo rechacé. Realicé la consiguiente llamada a Ono, donde me comunicaron que eran conscientes del problema y habían tomado nota. La facturación que recibo en mi domicilio, emitida el día 20/12/2013, consta de dos facturas, una a mi nombre y con mis datos, y otra a nombre de otra persona ( B.B.B.) pero con mi dirección y número de cuenta bancaria. Consulté a Ono, donde se me informó que se había realizado un cambio de nombre en mi línea de teléfono. Puesto que yo no había solicitado tal cambio de nombre, pedí a Ono que solucionara el problema, a lo cual me aseguraron que harían las gestiones pertinentes y la próxima facturación sería correcta. Me pidieron que les mandara la denuncia por fax y así lo hice. La siguiente facturación recibida, emitida el 20/1/2014 sigue constando de dos facturas, una a mi nombre pero que no se corresponde con los servicios contratados, con un coste de 105.23 euros; y otra a nombre de B.B.B., pero de nuevo con mi dirección y mi número de cuenta, con un importe de 702.33 euros. Entonces, di orden en el banco para que no cobraran estos recibos y llamé a Ono para informar de lo que ocurría, es decir, que mi problema no sólo no había sido solucionado, sino que se estaba agravando. Acto seguido, volví a la comisaría a ampliar la denuncia para aportar los nuevos sucesos que se estaban produciendo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Denuncio por tanto, el hecho de que la compañía realizara un cambio de nombre y asignara a este nombre mi dirección y número de cuenta, permitiéndole hacer cambios en mi contrato y cargando los costes de este a mi cuenta bancaria, generándome una deuda.>> Para acreditar estos hechos aportaba junto a su escrito de denuncia copia de la siguiente documentación: - Denuncia presentada en fecha 26 de noviembre de 2013 ante la Policía Nacional mediante la cual D. A.A.A. denuncia la suplantación de identidad en la solicitud de portabilidad las líneas telefónicas E.E.E., E.E.E. y U.U.U.. - Facturas números I.I.I. y H.H.H. emitida ambas en fecha 20/12/2013 por ONO a nombre del denunciante. - Ampliación de denuncia presentada en fecha 24 de enero de 2014, ante la Policía Nacional mediante la cual D. A.A.A. denuncia por los hechos mencionados. - Facturas números G.G.G. y F.F.F. emitida ambas en fecha 20/01/2014 ambas con identificador de cliente R.R.R., misma dirección, correspondiente al denunciante, y misma cuenta bancaria. La primera figura a nombre del denunciante, con su DNI, y la segunda aparece con el nombre y DNI de una tercera persona, D. B.B.B.. - Fax remitido por el denunciante en fecha 17 de diciembre 2014 a ONO mediante el que presenta una reclamación por los hechos aquí denunciados. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a las entidades más abajo reseñadas. De este modo, en el informe de actuaciones previas de investigación E/02248/2014 se detalla lo siguiente: <<Con fecha 16/5/2014 se solicita a ONO información relativa a D. A.A.A. y de la respuesta recibida se desprende lo siguiente: Aporta la entidad impresiones pantalla en las que figura el denunciante, incluyendo su nombre, DNI y dirección postal. Figura igualmente contactos de fecha el 27/11/2013 en los que hubo un intento de dar de alta por portabilidad tres líneas móviles, números E.E.E. y U.U.U., que no llegaron a darse de alta porque el departamento de Fraude de ONO detectó dicho intento y las canceló el 2 de diciembre de 2013. Posteriormente, con fecha 19 de diciembre de 2013, figura un cambio de titular y con base en dicha solicitud de cambio de titular se solicitan otras tres nuevas líneas, números D.D.D. y T.T.T.. Aporta la entidad dos soportes CD-ROM que manifiesta contienen las diez grabaciones, de las cuales nueve son por las líneas y una por el cambio de titularidad. Examinados dichos soportes se encuentra que son ilegibles, por lo que se solicita a la entidad el reenvió de las grabaciones, que remite por correo electrónico. Escuchadas las grabaciones aportadas, se encuentra: - C/ Jorge Juan, 6 28001 – Madrid Grabaciones contenidas en los ficheros P.P.P..wav, O.O.O..wav y N.N.N..wav. Se encuentra que en dicha grabación no se registra la www.agpd.es sedeagpd.gob.es 3/12 fecha y hora de su realización, una persona que se identifica con el nombre y NIF del denunciante solicita la contratación de los servicios de ONO, se solicita la portabilidad, se indica las condiciones de contratación, pero no se indica el número de teléfono al que se refiere la contratación. - Grabaciones contenidas en el fichero M.M.M..wav, alguien que se identifica con el nombre del denunciante, pero con NIF V.V.V. (distinto del NIF del denunciante) solicita cambio titularidad al NIF X.X.X. a nombre de C.C.C., conservando la cuenta bancaria. - Grabaciones contenidas en L.L.L..wav, K.K.K..wav y J.J.J..wav, aparentemente son una continuación de la otra, en las que se solicita la portabilidad de las líneas D.D.D., D.D.D. y S.S.S. informándose al contratante de las condiciones de contratación. Informa la entidad que las líneas se dieron de baja por constatar que había sido un alta de servicios suplantando la identidad del denunciante. Aporta una impresión de pantalla en la que figura un contacto según el cual el cliente solicita la cancelación de la portabilidad, debido a que es un fraude. Aporta ONO impresión de pantalla en que se recoge una relación de facturas que fueron emitidas a nombre del denunciante y las cuales se encuentran todas canceladas. Informa la entidad que figuran otras facturas a nombre del denunciante, debido a que continúa siendo cliente. Aporta igualmente copias de las facturas emitidas al nombre del denunciante en fechas 20/01/2014 y 20/02/2014 así como la factura rectificativa emitida a nombre del denunciante en fecha 26/04/2014. Ninguna de ellas coincide con la aportada por el denunciante. Aporta ONO impresión de pantalla del sistema de gestión de contactos, en el que consta: - Contacto de fecha 17/1/2014, en el que se anota la recepción de un fax por medio del cual el cliente denuncia la suplantación de su identidad, informando que no contrató los terminales móviles. - Anotación de fecha 24/01/2014, según el cual se dieron de alta tres móviles que no corresponden a su contrato y creo deuda de 702.33 , 105.33 y otros, el cliente reclama que no son suyos y que no va a pagarlos, quiere la baja sin penalización. - Anotación de fecha 18/03/2014 de la entrada de una reclamación recibida de la OMIC de Alcorcón. Figura igualmente anotación de la respuesta dada, según la cual: <<Referente a la contratación de las líneas de móvil, les informamos que estamos recopilando toda la información acerca del posible fraude que denuncia el reclamante. No obstante, las tarjetas SIM de las líneas de móvil, nos constan entregadas en el domicilio de instalación de los servicios del reclamante. Las cuales fueron activadas y tal y como se comprueba en las facturas se ha realizado uso de las mismas.>>. Informa la entidad que no se dispone de contrato físico porque la contratación se realizó telefónicamente a través de una serie de llamadas entrantes. Aporta copia de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 grabaciones. Aporta ONO un CD con las grabaciones que han localizado en las cuales manifiestan que se dan de alta tres líneas móviles, números E.E.E. y U.U.U. en el mes de noviembre de 2013 y en las que consta la aceptación del interlocutor. El CD ha resultado ilegible, por lo que, solicitada nueva copia, se remiten por correo electrónico una serie de grabaciones, ninguna de las cuales se corresponde con lo manifestado por la entidad. Aporta un segundo CD respecto al que manifiesta: <<… con cuatro grabaciones mas, una de ellas relativa al cambio de titular del contrato y las tres restantes, relativas al alta de las tres líneas D.D.D. y T.T.T., en el mes de diciembre de 2013. Asimismo en dicho CD se incluyen las tres grabaciones de la verificación por terceros efectuada para la portabilidad de las líneas dadas de alta el 19 de diciembre de 2013.>> Como ya se ha dicho anteriormente, dicho CD resultó ilegible. Las grabaciones posteriores aportadas por correo electrónico no se corresponden con lo manifestado por la entidad. Solicitada la acreditación de la fecha de grabación, la entidad informa que la fecha de cada una de las grabaciones no se recoge en la misma grabación sino en los sistemas y son las fechas indicadas en el Documento número 1 de su aportación documental. Respecto del procedimiento establecido para acreditar la identidad del contratante, la entidad manifiesta: <<Tal y como puede escucharse en la grabación, el verificador solicita que el contratante conteste a determinadas preguntas con un Sí” o un No” y entre dichas preguntas se le solicita la confirmación de su nombre y apellidos y la de su DNI, entre otras.>> Informa ONO que tanto para la portabilidad móvil como para la fija utiliza los servicios de verificación de Marktel Teleservicios, S.L., aportando copia del contrato de prestación del servicio suscrito con dicha entidad>>. TERCERO: En fecha 21 de enero de 2015 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CABLEUROPA, S.A.U. por la posible infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD); tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica, este último de acuerdo con la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible. CUARTO: En fecha 10 de febrero de 2015 tuvo entrada en esta Agencia un escrito de la representación de CABLEUROPA, S.A.U. en el que se realizaban las oportunas alegaciones al Acuerdo de inicio más arriba citado, reconociendo voluntariamente su responsabilidad en los hechos; por lo que solicitaba la aplicación de lo establecido en el artículo 8.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora y el artículo 45.5.
2. d)de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 QUINTO: Al haber reconocido CABLEUROPA, S.A.U. los hechos que se le imputan, se procedió a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS PRIMERO: Que con fecha 28 de enero de 2014 D. A.A.A., con NIF Q.Q.Q., manifestó a esta Agencia Española de Protección de Datos que la entidad CABLEUROPA, S.A.U. (ONO) había tratado sus datos personales sin consentimiento, al asociarlos a servicios de telefonía no contratados por él, pues: “El día 26/11/13 llegó a mi casa un mensajero que traía tres terminales móviles de Ono, los cuales venían a mi nombre. Puesto que yo no los había solicitado no los acepté, y acto seguido contacté con Ono para pedir una explicación. En atención al cliente me remitieron a portabilidades. Cuando expliqué la situación me dijeron que era posible que alguien hubiese operado en mi nombre, utilizando también mi DNI. Se procedió entonces a cancelar las líneas, e interpuse una denuncia en la comisaría de policía de Alcorcón. No obstante, a la semana siguiente, volvió otro mensajero con otros tres terminales que de nuevo rechacé. Realicé la consiguiente llamada a Ono, donde me comunicaron que eran conscientes del problema y habían tomado nota. La facturación que recibo en mi domicilio, emitida el día 20/12/2013, consta de dos facturas, una a mi nombre y con mis datos, y otra a nombre de otra persona ( B.B.B.) pero con mi dirección y número de cuenta bancaria. Consulté a Ono, donde se me informó que se había realizado un cambio de nombre en mi línea de teléfono. Puesto que yo no había solicitado tal cambio de nombre, pedí a Ono que solucionara el problema, a lo cual me aseguraron que harían las gestiones pertinentes y la próxima facturación sería correcta. Me pidieron que les mandara la denuncia por fax y así lo hice. La siguiente facturación recibida, emitida el 20/1/2014 sigue constando de dos facturas, una a mi nombre pero que no se corresponde con los servicios contratados, con un coste de 105.23 euros; y otra a nombre de B.B.B., pero de nuevo con mi dirección y mi número de cuenta, con un importe de 702.33 euros. Entonces, di orden en el banco para que no cobraran estos recibos y llamé a Ono para informar de lo que ocurría, es decir, que mi problema no sólo no había sido solucionado, sino que se estaba agravando. Acto seguido, volví a la comisaría a ampliar la denuncia para aportar los nuevos sucesos que se estaban produciendo>>. SEGUNDO: Que CABLEUROPA, S.A.U. trató los datos personales de D. A.A.A. en relación con las facturas números G.G.G. y F.F.F. emitida ambas en fecha 20/01/2014 ambas con identificador de cliente R.R.R., misma dirección, correspondiente al denunciante, y misma cuenta bancaria. La primera figura a nombre del denunciante, con su DNI, y la segunda aparece con el nombre y DNI de una tercera persona, D. B.B.B.. De igual modo, registró los datos del denunciante, incluyendo su nombre, DNI y dirección postal por un intento de dar de alta por portabilidad tres líneas móviles, números E.E.E. y U.U.U., que no llegaron a darse de alta porque el departamento de Fraude de ONO detectó dicho intento y las canceló el 2 de diciembre de 2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 TERCERO: Que CABLEUROPA, S.A.U. no ha aportado a esta Agencia documentación que acredite contar con el consentimiento de D. A.A.A. para llevar a cabo el tratamiento de sus datos personales de tallados en los puntos anteriores. CUARTO: Que CABLEUROPA, S.A.U. manifestó a esta Agencia en fase de alegaciones al Acuerdo de inicio del presente procedimiento sancionador el reconocimiento voluntario de su responsabilidad en los hechos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda”. En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, se procede a resolver el procedimiento iniciado. III Se imputa a CABLEUROPA, S.A.U. (en la actualidad VODAFONE ONO, S.A.U.) en el presente procedimiento sancionador la comisión de una infracción del artículo 6.1 de la LOPD, que dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. “Respecto al consentimiento – dice la sentencia de la Audiencia Nacional de 4 de marzo de 2009 - , es de interés reseñar que el apartado 1 del Art. 6 LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. La exigencia de que sea inequívoco está relacionada con la forma de prestar el consentimiento, pues el citado precepto no establece ni requiere que tenga que prestarse de forma determinada, ni de forma expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, con base a que no tendría sentido la exigencia de consentimiento expreso para el tratamiento de los datos especialmente protegidos a que se refiere el Art. 7 LOPD. Ahora bien, el consentimiento, como ha dicho esta Sala de forma reiterada, entre otras en la sentencia de 20 de septiembre 2006, tiene que ser inequívoco por parte del titular de los datos pues es él y no un tercero quien tiene el poder de disposición y control sobre sus datos personales, aun cuando no se requiere que se produzca de forma expresa o por escrito pero sí debe reunir los requisitos previstos en el artículo 3h) y 6.1 de la LOPD”. La entidad imputada en este caso concreto no ha aportado prueba documental C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 que acredite que contara con el consentimiento inequívoco de la persona denunciante para poder llevar a cabo el tratamiento de datos personales realizado (asociando sus datos personales a servicios de telefonía no contratados por él), antes bien, los documentos que obran en el procedimiento evidencian que no contaba con su consentimiento. Que con fecha 28 de enero de 2014 D. A.A.A., con NIF Q.Q.Q., manifestó a esta Agencia que la entidad CABLEUROPA, S.A.U. (ONO) había tratado sus datos personales sin consentimiento, al asociarlos a servicios de telefonía no contratados por él, pues: “El día 26/11/13 llegó a mi casa un mensajero que traía tres terminales móviles de Ono, los cuales venían a mi nombre. Puesto que yo no los había solicitado no los acepté”. Recordemos que en efecto, como consta acreditado en el expediente, CABLEUROPA, S.A.U. trató los datos personales de D. A.A.A. en relación con las facturas números G.G.G. y F.F.F. emitida ambas en fecha 20/01/2014 ambas con identificador de cliente R.R.R., misma dirección, correspondiente al denunciante, y misma cuenta bancaria. La primera figura a nombre del denunciante, con su DNI, y la segunda aparece con el nombre y DNI de una tercera persona, D. B.B.B.. De igual modo, registró los datos del denunciante, incluyendo su nombre, DNI y dirección postal por un intento de dar de alta por portabilidad tres líneas móviles, números E.E.E. y U.U.U., que no llegaron a darse de alta porque el departamento de Fraude de ONO detectó dicho intento y las canceló el 2 de diciembre de 2013. En cualquier caso, CABLEUROPA, S.A.U. manifestó a esta Agencia en fase de alegaciones al Acuerdo de inicio del presente procedimiento sancionador que reconocía de forma voluntaria su responsabilidad en los hechos analizados. Respecto a la activación de servicios no contratados, y en consecuencia el tratamiento de datos personales sin consentimiento para ello, puede ilustrarnos la sentencia de la Audiencia Nacional de fecha 28 de mayo de 2008 (R. 475/2008). Del mismo modo, la de fecha 13 de mayo de 2011 (R. 329/2010), que viene a insistir: “sin que tampoco conste que (…) tomó las medidas necesarias para asegurarse de que la persona que contrataba la línea telefónica era la titular del DNI con el que se efectuó dicha contratación, por lo que la infracción del principio del consentimiento del artículo 6.1 LOPD ha de ser confirmada por la Sala”. El GRUPO DE PROTECCIÓN DE DATOS DEL ARTÍCULO 29, creado en virtud del artículo 29 de la Directiva 95/46/CE como órgano consultivo europeo independiente en materia de protección de datos y derecho a la intimidad, en su Dictamen 15/2011 sobre la definición del consentimiento adoptado el 13 de julio de 2011, dice en relación al asunto que estamos analizando que: “Como se describe a continuación, este requisito obliga a los responsables del tratamiento a crear procedimientos rigurosos para que las personas den su consentimiento; se trata de, o bien buscar un claro consentimiento expreso o bien basarse en determinados tipos de procedimientos para que las personas manifiesten un claro consentimiento deducible. El responsable del tratamiento debe además asegurarse suficientemente de que la persona que da su consentimiento es efectivamente el interesado. Esto tiene especial importancia cuando el consentimiento se autoriza por teléfono o en línea. La prueba del consentimiento plantea una cuestión relacionada con lo anterior. Los responsables del tratamiento que se basen en el consentimiento pueden desear o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 necesitar demostrar que el consentimiento se ha obtenido, por ejemplo, en el contexto de un litigio con el interesado. Efectivamente, en algunos casos se les podrá pedir que aporten estas pruebas en el marco de medidas ejecutivas. Como consecuencia de ello y como cuestión de buena práctica los responsables del tratamiento deben crear y conservar pruebas de que el consentimiento fue efectivamente dado, lo que significa que el consentimiento debería ser demostrable”. Cabe decir por tanto que, ante la falta de acreditación por parte de la entidad imputada del consentimiento inequívoco de la persona denunciante para el tratamiento de sus datos personales, y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD. Abundando en este sentido, procede citar la sentencia de la Audiencia Nacional de fecha 21 de diciembre de 2001 en la que se declaraba que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. (…) (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, (...) debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. En consecuencia, por todo lo que antecede, se considera infringido el artículo 6.1 de la LOPD por parte de CABLEUROPA, S.A.U. y que es responsable de dicha infracción al artículo citado, por lo que se desestiman sus alegaciones al respecto. IV El artículo 44.3.
4. b)de la LOPD considera infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el presente caso, CABLEUROPA, S.A.U. (en la actualidad VODAFONE ONO, S.A.U.) ha tratado los datos personales de la persona denunciante sin su consentimiento y ha conculcado el principio del consentimiento regulado en el artículo 6.1 de la LOPD que encuentra su tipificación en el artículo 44.3.
5. b)de dicha norma. V El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias se dan en el presente caso, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, en concreto, su apartado d), al reconocer los hechos y la culpabilidad la entidad imputada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 No obstante, recordar la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, por todas, sentencia de 29 de abril de 2010, R.771/2009). Por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.5, y en particular, su apartado d), procede imponer una multa de 20.000 € por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ONO, S.A.U. multa de 20.000 € (veinte mil euros) por la infracción del artículo 6.1 de la LOPD; tipificada como grave en el artículo 44.3.
21. b)de dicha norma y de conformidad con lo establecido en el artículo 45 de esa misma Ley Orgánica, estos últimos de acuerdo con la redacción dada por la Ley 2/2011. SEGUNDO: NOTIFICAR la presente Resolución a VODAFONE ONO, S.A.U. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es