PS-00042-2016

1/8 Procedimiento Nº PS/00042/2016 RESOLUCIÓN: R/01394/2016 En el procedimiento sancionador PS/00042/2016, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA DE ESPAÑA, S.A.U.., vista la denuncia presentada por G.G.G., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 26 de marzo de 2015 tiene entrada en esta Agencia un escrito de G.G.G. en el que declara lo siguiente: “contraté un servicio telefónico y de internet con la compañía Movistar, que me ha dado muchos problemas y por el que he discutido varias veces con los operadores de atención al cliente. Al entrar en internet en su página de clientes dónde puedes comprobar facturas y otros servicios, además de tener que ponerme en contacto con ellos vía on line para cambiar la contraseña porque no podía hacerlo vía mail ya que no era el mío, descubro un poupurrí de datos actuales que yo les facilité hace un mes al darme de alta y datos antiguos de hace más de diez años, como correo electrónico incorrecto, ni siquiera era el mío, dirección postal y número de teléfono de una dirección en la que viví hace más de diez años y sobre todo, insultos. Tengo puesto, por la compañía como nombre de usuario la palabra "XXXX", lo que evidentemente no ha sido cosa mía. He llamado para hacer reclamaciones, y lo único que me dicen es que a ellos no les aparece eso, que los datos están correctos, y han borrado, sin mi consentimiento, la dirección de mail errónea. Yo dispongo de fotos de la pantalla del ordenador con todos los datos que estaban erróneos y con el nombre de usuario, fotos que voy a añadir a la denuncia.” Adjunta fotografías en las que figura su NIF asociado al usuario ”XXXX”. En el campo de dirección de correo electrónico aparece I.I.I.. y en domicilio “CL D.D.D.” .Figura así mismo un número de teléfono marcado por la denunciante : “J.J.J.”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad TELEFÓNICA DE ESPAÑA, S.A.U.., teniendo conocimiento de que: Realizada una visita de inspección a TELEFÓNICA DE ESPAÑA, S.A.U. (en adelante TDE) se constata lo siguiente: 1 En la fecha de la inspección, 22/09/2015, en los Sistemas de Información de TdE se encuentra información relacionada con la denunciante, con dirección de instalación “ B.B.B.. Se verifica que como identificador de cliente figura N.N.N.. Consta como fecha de alta de la línea fija K.K.K. el 19/02/2015. Consta como fecha de alta de fusión Residencial el 08/04/2015, y el 07/05/2015 el alta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Fusión TV. Se verifica que el estado es “Activo”. Entre los contactos registrados con el cliente, que se encuentran desde fecha 17/02/2015 hasta el 16/09/2015, no se observa ningún contacto que haga referencia al nombre de usuario “XXXX”. Con respecto a la línea J.J.J. no se encuentran datos en el Sistema de Información. Los representantes de la entidad manifiestan que para acceder a los datos de líneas dadas de baja con una antigüedad de diez años, como aparentemente ha sucedido con esta línea, necesitan extraer los datos directamente de la Base de Datos lo cual no puede ser realizado en el transcurso de la Inspección. Requerida dicha información a los representantes de la entidad estos manifestaron posteriormente no haber sido posible su localización. 2 Con respecto al usuario de “Mi Movistar” de identificador “XXXX” se encuentra asociado a “ F.F.F.” con identificador de cliente “N.N.N.” y NIF “L.L.L.” Aparece como dirección “CL A.A.A.. Como fecha de alta figura 14/12/2004, y como fecha de última modificación 02/09/2015. Se extrae copia de los servicios accesibles por el cliente por este canal y las operaciones realizadas sobre el usuario del cliente, no apareciendo operaciones desde el 2007 hasta que en fecha 23/03/2015 se registra una operación de cambio de password a las 20:42 realizado a través de un operador supuestamente a petición del cliente. Se verifica que a los cuatro minutos se produce un nuevo cambio de password realizado por el usuario a través de Internet. Se verifica que como fecha de primer acceso al canal on-line consta 14/12/2004 y el último el 01/09/2015. Se constata la existencia del registro de un envío de un aviso de factura on-line remitido por correo electrónico de fecha 21/02/2015 a la dirección H.H.H. constando como devuelta o fallo en la entrega. 3 A la vista de las comprobaciones realizadas, y en respuesta a las preguntas formuladas por los inspectores, los representantes de la entidad manifestaron lo siguiente :  En el año 2004 el cliente era el que debía elegir el nombre de usuario directamente en el sistema. Para ello debía aportar en registro su DNI y contraseña.  Este nombre de usuario se utiliza como clave para acceder a los datos del cliente por lo cual no puede estar repetido, y, una vez elegido, no puede ser modificado por el usuario.  Los operadores no disponen ni han dispuesto de privilegios para efectuar un cambio de nombre de usuario.  Cuando un cliente se da de baja de todos los servicios, transcurre un periodo de aproximadamente seis años hasta que, mediante un proceso batch (proceso automático realizado normalmente por la noche sin intervención de operador), se realiza un borrado de los datos de los Sistemas. Se desconoce el motivo por el cual este proceso automático C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 no realizó el borrado efectivo correspondiente a la afectada. 4 del usuario de Mi Movistar Los representantes de TdE, en aras de solucionar el problema de la denunciante lo más rápidamente posible, utilizando un usuario administrador (no disponible para los operadores que atienden telefónicamente a los clientes) realizan durante la inspección el cambio de la contraseña del usuario de la denunciante, desagregando previamente los servicios, requisito imprescindible para que sea posible el cambio de nombre de usuario. Una vez cambiada la contraseña se procede a realizar el cambio del nombre de usuario y se genera de nuevo una contraseña temporal que será comunicada a la denunciante, para que en su primer acceso al canal on-line elija la contraseña definitiva. También se procede al cambio de la dirección postal que consta en Mi movistar, estableciendo la que consta como dirección actual de la denunciante. TERCERO: Con fecha 03/02/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a TELEFÓNICA DE ESPAÑA, S.A.U.., por la presunta infracción del artículo 4.5 de la LOPD, tipificada como grave en el artículo 44.3

1. c)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, TELEFÓNICA DE ESPAÑA, S.A.U.. mediante escrito de fecha 02/03/2016 formuló alegaciones, significando, que: Reconoce que no ha sido posible conocer el por qué quedaron asociados en MI MOVISTAR datos que habían pertenecido a la Sra. G.G.G. asociados a la línea J.J.J. de la que fue titular. Datos que no han aparecido en la base de datos de clientes. Solicitan la aplicación del art. 8 RD 1398/1993, de 4 de agosto estableciendo la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considera en el presente caso, la leve. Es de aplicación la circunstancia prevista en el art. 45.5
2. b)en la medida en que se rectificó la dirección de email en el momento en que se puso la denunciante en contacto con la entidad y se modificó la dirección postal en la inspección realizada en fecha 22/09/2015. QUINTO: En fecha de 20/04/2016 se incorporó como prueba documental, la denuncia interpuesta por G.G.G. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TELEFÓNICA DE ESPAÑA, S.A.U.., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04190/2015 y las alegaciones al acuerdo de inicio PS/00042/2016 presentadas por TELEFÓNICA DE ESPAÑA, S.A.U.., y la documentación que a ellas acompaña. SEXTO: Al haber reconocido la entidad denunciada los hechos que se le imputan y la responsabilidad que se deriva de los mismos, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 resolución al respecto. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS UNO.- En los sistemas de TDE constan los datos de la denunciante asociados a un producto consistente en una línea K.K.K. con fecha de alta 19/02/2015 y domiciliado en E.E.E.. DOS.- La denunciante pudo comprobar que al menos en fecha de 26/03/2015 sus datos figuraban en los sistemas de TDE asociados a dos líneas de teléfono, siendo incorrecta la línea J.J.J. que no le pertenece en la actualidad, ni la dirección de email asociada a la facturación. Respecto los “Datos de Usuario” figuraba una dirección incorrecta y el en el campo destinado al nombre de usuario constaba la palabra “XXXX”. TRES.- En la inspección realizada en la sede de TDE en fecha de 22/09/2015 se pudo comprobar que realizando una búsqueda de usuario en el canal On line –MI MOVISTAR- utilizando los términos “XXXX” aparecía un resultado asicado a “ F.F.F.” con identificador de cliente “N.N.N.” y NIF “ M.M.M.” y como dirección “ A.A.A.. Con fecha de alta figura 14/12/2004, y como fecha de última modificación 02/09/2015. CUATRO.- Solicitada información a TDE respecto de la fecha de alta y baja de la línea J.J.J., la citada mercantil no ha podido aportar la información de la baja remitiéndose a lo manifestado en la Inspección realizada en concreto (…) (…)Cuando un cliente se da de baja de todos los servicios, transcurre un periodo de aproximadamente seis años hasta que, mediante un proceso batch (proceso automático realizado normalmente por la noche sin intervención de operador), se realiza un borrado de los datos de los Sistemas. Se desconoce el motivo por el cual este proceso automático no realizó el borrado efectivo del usuario de Mi Movistar correspondiente a la afectada(…) CINCO.- En la inspección realizada en la sede de TDE en fecha de 22/09/2015, los representantes de la citada compañía modificaron el registro asociado a la denunciante subsanando el error que constaba. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III Establece el art. 4.5 de la LOPD: Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados. En este sentido la Sentencia de 23/09/2011 recaída en el recurso contenciosoadministrativo nº 530/2010 señala en su Fundamento de Derecho III, que (…) Uno de los principios que inspira la legislación sobre tratamiento de los datos de carácter personal, es el de calidad de los datos. Este principio implica, entre otras cosas, que los datos sean adecuados, pertinentes y no excesivos en relación con el ámbito y la finalidad para la cual se hubieran recabado -art 4.1 de la LOPD - y que sean exactos y respondan con veracidad a la situación actual del afectado -art 4.3 de la LOPD -. Por lo tanto, si los datos han dejado de ser necesarios para los fines para los cuales fueron recabados o registrados o resultan inexactos, se debe proceder a su cancelación, sin necesidad de solicitud del afectado. Y así se infiere del propio tenor literal de los arts. 4.4 y 4.5 de la LOPD, que utiliza la expresión imperativa " serán cancelados" y sin condicionarla a la existencia de una previa solicitud del afectado. En suma, la norma establece la obligación del responsable del fichero, de proceder de oficio y con la debida diligencia, a cancelar, en su caso, los datos inexactos o que han dejado de ser necesarios para la finalidad del fichero, y sin necesidad de solicitud previa del afectado. Además de sentar el anterior principio, la Ley concede al afectado o titular de los datos que sean objeto de tratamiento -art 3 .
4. e)de la LOPD-, la posibilidad de solicitar la cancelación -art 16 de la LOPD -, concediendo de este modo un derecho al afectado, para que pueda suplir la inactividad del responsable del fichero. Lo que implica, en coherencia, que el afectado pueda pedir la cancelación, por las mismas causas por las que se debió cancelar de oficio. Por lo tanto, y en lo que nos interesa, es posible solicitar la cancelación, cuando los datos no sean adecuados, ni necesarios para la finalidad del fichero, o sean inexactos, extremo que pasamos analizar.(…) IV En el presente caso, ha resultado probado que TDE mantenía los datos de la denunciada asociados a un producto – línea J.J.J. desde el año 2004 - respecto del que no han podido proporcionar explicaciones respecto de su fecha de baja, y también, mantenían asociados a la línea actual de la denunciante – respecto de la que no hay discusión -, el domicilio perteneciente a la línea antes citada, y por tanto sin cumplir el principio de calidad en relación con la obligación de cancelación por no necesarios e incorrectos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 En la inspección realizada en fecha de 22/09/2015 los representantes de TDE corrigen los datos erróneos. En relación a lo expuesto, la obligación prevista en el art. 4.5 LOPD y la conducta prevista en el art. 44.3
5. c)de la misma norma, consistente en “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave. Se puede afirmar que TDE ha cometido la conducta tipifica y antijurídica, siendo tributaria de la imposición de una sanción por infracción a la LOPD. V El artículo 45 de la LOPD, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 artículo.
17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente caso TDE solicita la aplicación de la degradación prevista en el apartado 5 del citado artículo en base a los apartados b y d. Procede estimar la solicitud de TDE en base al apartado
21. b)del citado artículo 45.5 y determinar la cuantía de la sanción a imponer dentro del intervalo de las infracciones leves. Ahora bien, en relación con los criterios de graduación previstos en el apartado 4 del citado artículo, debe tenerse en cuenta, que sin perjuicio de haber considerado la regularización de la situación de forma diligente, ésta ha acontecido en el momento de la inspección realizada y al menos desde el año 2004 constan los datos de la denunciante asociados erróneamente, y sin que haya podido explicar TDE tal circunstancia. Por lo que de acuerdo con el apartado a), junto con el apartado
22. c)(vinculación de la actividad empresarial con el tratamiento de datos y la diligencia prestada) y
23. f)(grado de intencionalidad) todo ello en relación con el elemento subjetivo en la comisión de la infracción, que operarían como circunstancias agravantes, se determina la cuantía de la infracción en 20.000 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA DE ESPAÑA, S.A.U.., por una infracción del artículo 4.5 de la LOPD, tipificada como grave en el artículo 44.3
24. c)de la LOPD, una multa de 20.000 € ( veinte mil euros ) de conformidad con lo establecido en el artículo 45 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a TELEFÓNICA DE ESPAÑA, S.A.U.., y a G.G.G.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es