← España

PS-00054-2014

1/15 Procedimiento Nº PS/00054/2014 RESOLUCIÓN: R/00983/2014 En el procedimiento sancionador PS/00054/2014, instruido por la Agencia Española de Protección de Datos a la entidad TELEFONICA MOVILES ESPAÑA SAU, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 21 de febrero de 2013 tiene entrada en esta Agencia un escrito de Dª A.A.A. en el que declara que tenía un contrato suscrito con TELEFONICA y habiendo solicitado la baja en junio de 2012, la citada operadora no ha respetado la orden de baja y le ha continuado facturando el servicio hasta diciembre de 2012. Indica no haber faltado a su obligación de pago desde el inicio de la contratación hasta el momento de la orden de baja, habiendo sido incluidos sus datos en ficheros de morosidad. Aporta copia de una carta de TELEFONICA fechada en 9 de julio de 2012, dirigida a la afectada, donde se menciona la baja, así como copia de una factura de diciembre de 2012 y de otra carta de TELEFONICA del 1 de febrero de 2013 en contestación a una reclamación de la afectada. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EQUIFAX IBERICA, S.L., EXPERIAN BUREAU DE CREDITO, S.A., TELEFONICA MOVILES ESPAÑA SAU, teniendo conocimiento de que: Del análisis de la documentación aportada por la denunciante se desprende lo siguiente: Que TELEFONICA tuvo conocimiento de la solicitud de baja el 9 de julio de 2012 (al menos), ya que en la carta dirigida por TELEFONICA a la afectada en esa fecha, se cita “acusamos recibo de su solicitud de baja recibida en Telefónica de España, confirmándole asimismo que se han iniciado las actuaciones necesarias para dar efectividad a la misma”. En el asunto de la carta figura “Solicitud de baja del servicio ADSL para el teléfono ***TEL.1”. En la factura de diciembre de 2012 aparece el cargo del servicio de ADSL En la carta de contestación de TELEFONICA a la reclamación de la afectada, correspondiente a la misma línea telefónica, se cita que “hemos analizado su caso en detalle y hemos comprobado que efectivamente el servicio no causó baja cuando lo solicitó (09/07/2012)”. Indican que “hemos procedido a la desactivación del servicio y asimismo hemos procedido al reintegro de la diferencia hasta la fecha de baja efectiva del servicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 (12/12/2012)”. En esta comunicación consta que le realizan una devolución de 211,17 euros + IVA. Con fecha 5/06/2013 se solicita a EQUIFAX IBERICA, SL información relativa a la afectada y de la respuesta recibida se desprende lo siguiente: - Respecto del fichero ASNEF: No consta información activa en el momento de realizar las comprobaciones. - Respecto del fichero de NOTIFICACIONES: Consta una notificación emitida a nombre de la afectada, con fecha de emisión 03/01/2013, por un importe de 265,19 euros y siendo la entidad informante TELEFONICA DE ESPAÑA. Consta otra carta de fecha 14/03/2013 por alta de incidencia de 136,40 euros. - Respecto del fichero de BAJAS: Constan las bajas asociadas a las notificaciones citadas en el apartado anterior: la primera para una operación con fecha de alta y baja en ASNEF de 31/12/2012 – 05/02/2013, por vencimientos impagados primero y último de fechas 25/10/2012 -24/01/2013. Importe en la baja 330,26 euros. la segunda para una operación con fecha de alta y baja en ASNEF de 11/03/2013 – 12/06/2013, por vencimientos impagados primero y último de fechas 24/11/2012 -24/01/2013. Importe en la baja 136,40 euros. Con fecha 05/06/213 se solicita a EXPERIAN BUREAU DE CREDITO, SA información relativa a la afectada y de la respuesta recibida se desprende lo siguiente: - Respecto del fichero BADEXCUG: No consta información activa en el momento de realizar las comprobaciones. - Respecto del fichero de NOTIFICACIONES: Consta una notificación enviada a nombre de la afectada como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad TELEFONICA DE ESPAÑA. La notificación fue emitida con fecha 31/01/2013, por deuda de 330,26 euros. - Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Consta una operación impagada informada por TELEFONICA MOVILES con fecha de alta de 30/01/2013 y fecha de baja de 06/02/2013. Con fecha 05/06/213 se solicita a TELEFONICA información relativa a la afectada, aportandose junto al requerimiento de información copia de las cartas de contestación emitidas por TELEFONICA a la afectada. De la respuesta recibida se desprende lo siguiente: Consta la baja del servicio de la referida línea el 16/12/2012. TELEFONICA manifiesta al respecto que con motivo de la reclamación de la afectada se bonificaron las cuotas de las facturas desde agosto de 2012 ( 211,27 euros + IVA ) correspondientes a las cuotas de servicio de las facturas de agosto a diciembre de 2012. No obstante, indican que queda deuda pendiente de los consumos efectuados más el IVA, aportando las facturas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 correspondientes. Consta la entrada de una reclamación de la afectada el 31/01/2013, así como la salida de la contestación a la misma, que se corresponde con la carta de TELEFONICA de fecha 1 de febrero de 2013 aportada por la denunciante. TERCERO: Con fecha 6 de febrero de 2014 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TELEFÓNICA MÓVILES ESPAÑA S.A., (TME) por presunta infracción de los artículos 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas ambas como infracciones graves en los artículos 44.3.

  1. b)y 44.3.
  2. c)de dicha norma, pudiendo ser sancionada, cada una, con multa de 40.001€ a 300.000 €, según lo previsto en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio TME, mediante escrito que tuvo entrada en el Registro de la AEPD el 7 de marzo de 2014, formuló alegaciones en las que solicitó el archivo del presente expediente sancionador en relación a la infracción del artículo 6.1 de la LOPD en base a las siguientes hechos: - Que la denunciante afirma “que tenía contratado con ustedes un servicio de telefonía fija e Internet asociado a la línea ***TEL.1, por lo que en ningún momento se ha puesto en duda la contratación de la citada línea telefónica”. - En el presente caso se ha demostrado que el consentimiento es inequívoco por cuanto la instalación de la línea ***TEL.1 se realizó en el mismo domicilio que consta en el Documento Nacional de Identidad de la Sra. A.A.A., ella misma ha reconocido la contratación de la línea y existen más de 20 facturas abonadas. - El abono de las facturas se debe considerar como una prueba del consentimiento para el tratamiento de los datos en materia de protección de datos. - Presunción de Inocencia En relación a la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD reconoce la responsabilidad y solicita la aplicación del artículo 45.5.
  3. d)“cuando el infractor haya reconocido espontáneamente la responsabilidad”, conforme al artículo 8 del RD 1398/1993 de 4 de agosto por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora. QUINTO: Con fecha 10 de marzo de 2014 se inició el período de práctica de pruebas en el que: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante TELEFONICA MOVILES ESPAÑA SAU, ASNEF EQUIFAX S.L., EXPERIAN BUREAU DE CRÉDITO S.A. y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03025/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00054/2014 presentadas por TELEFONICA MOVILES ESPAÑA SAU, y la documentación que a ellas acompaña. SEXTO: Con fecha 24 de marzo de 2014 se formuló propuesta de resolución, proponiendo que por el Director de la Agencia Española de Protección de Datos se sancione a TELEFONICA MOVILES ESPAÑA S.A.U.:
  4. a)Con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  5. b)de dicha norma y
  6. b)Con multa de 20.000 € (veinte mil euros) por la infracción del artículo 4.3, en relación con el 29.4, de la LOPD, tipificada como infracción grave en el artículo 44.3.
  7. c)de dicha norma. SEPTIMO: En fecha 14 de abril de 2014 tuvieron entrada en el Registro de la AEPD las alegaciones de TELEFONICA MOVILES ESPAÑA S.A. a la propuesta de resolución en la que reitera los argumentos expuestos en el curso del expediente, solicita el archivo del presente expediente sancionador en relación con el artículo 6.1 de la LOPD y con carácter subsidiario solicita la imposición de las sanciones que pudieran corresponderle con arreglo a la escala prevista para las infracciones leves, a tenor de los artículos 45.5 de la LOPD en base a que la denunciante no se pone en contacto con TME hasta enero de 2013 para informar que no se ha hecho efectiva la baja. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: Dña A.A.A. con DNI ***DNI.1 (folio 13) manifiesta que tenía un contrato suscrito con TELEFONICA y habiendo solicitado la baja en junio de 2012, la citada operadora no respetó la orden de baja y le ha continuado facturando el servicio hasta diciembre de 2012. Manifiesta no haber faltado a su obligación de pago desde el inicio de la contratación hasta el momento de la orden de baja, habiendo sido incluidos sus datos en ficheros de morosidad. (folios 1 a 13) SEGUNDO: Queda acreditada la existencia de una la solicitud de baja el 9 de julio de 2012 (al menos), ya que en la carta dirigida por TME a la afectada en esa fecha, se cita “acusamos recibo de su solicitud de baja recibida en Telefónica de España, confirmándole asimismo que se han iniciado las actuaciones necesarias para dar efectividad a la misma”. En el asunto de la carta figura “Solicitud de baja del servicio ADSL para el teléfono ***TEL.1”. (folio 7) TERCERO: Queda acreditada la existencia de una carta, enviada por la denunciante, el 8 de enero de 2013 y recibida por TME el 14 de enero de 2013 en la que la denunciante reclama que ordenó la baja en el contrato en junio de 2012 a través del servicio de atención al cliente y que en la respuesta de Movistar se recoge sólo la baja en el servicio ADSL. (folios 5 y 6) CUARTO: Queda acredita la existencia de una carta de respuesta, de fecha 1 de febrero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 de 2013, por parte de Movistar (TME) a la enviada por la denunciante, (hecho probado tercero) en la que, entre otras cosas, se señala que…”hemos comprobado que el servicio no causó baja cuando lo solicitó (9 de julio de 2012)”…”hemos procedido a la desactivación del servicio y al reintegro de la diferencia hasta la fecha de baja efectiva del servicio(12/12/2012)” (folio 58) QUINTO: Manifiesta TME que el alta de la línea ***TEL.1 a nombre de la denunciante fue el 12 de agosto de 2010 y la baja el 16 de diciembre de 2012.(folio 48) SEXTO: Existen copias de facturas físicas a nombre de la denunciante que van desde fecha de emisión 25 de agosto de 2012 hasta 25 de diciembre de 2012 (folios 53 a 55 y 4) SEPTIMO: Resulta acreditado que TME informó al fichero ASNEF-EQUIFAX los datos personales de la denunciante por un saldo deudor de 330,26€. La fecha de alta fue el 31 de diciembre de 2012 y la fecha de baja el 5 de febrero de 2013. El primer y último vencimiento impagados son 25 de octubre de 2012 y 24 de enero de 2013 (folio 36) OCTAVO: Resulta acreditado que TME informó al fichero ASNEF-EQUIFAX los datos personales de la denunciante por un saldo deudor de 136,40€. La fecha de alta fue el 11 de marzo de 2013 y la fecha de baja el 12 de junio de 2013. El primer y último vencimiento impagados son 24 de noviembre de 2012 y 24 de enero de 2013 (folio 38) NOVENO: Resulta acreditado que TME informó al fichero BADEXCUG los datos personales de la denunciante por un saldo deudor de 330,26€. La fecha de alta fue el 30 de enero de 2013 y la fecha de baja el 06 de febrero de 2013. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  8. g)en relación con el artículo 36 de la LOPD. II El artículo 6, apartados 1 y 2, de la Ley Orgánica 15/1999, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personal. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. III Pasamos a examinar la infracción del artículo 6.1 de la LOPD que se imputa TME. La entidad denunciada manifiesta que el tratamiento de datos que TME ha efectuado está amparado por el artículo 6.2 de la LOPD. el cual justifica el tratamiento por la existencia de una relación contractual con la denunciante. Alega que la misma denunciante afirmó en una carta que tenía contratado un servicio de telefonía fija e Internet asociado a la línea ***TEL.1, por lo que en ningún momento se ha puesto en duda la contratación de la citada línea telefónica. Así mismo señala la entidad denunciada que en el presente caso se ha demostrado que el consentimiento es inequívoco por cuanto la instalación de la línea ***TEL.1 se realizó en el mismo domicilio que consta en el Documento Nacional de Identidad de la Sra. A.A.A. y ella misma ha reconocido la contratación de la línea y existen más de 20 facturas abonadas. A este respecto hay que señalar que si bien en un origen dicho contrato de línea contó con el consentimiento inequívoco de la denunciante, no es menos cierto que la denunciante solicitó la baja en el contrato, al menos, con fecha 9 de julio de 2012 (hechos probados segundo) y que según afirma la propia entidad denunciada el servicio no causó baja cuando lo solicitó la denunciante. (hecho probado cuarto) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 De acuerdo con las disposiciones transcritas en el Fundamento de Derecho precedente, el tratamiento de los datos personales exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del tratamiento, - entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento en cuestión se refiera a un contrato suscrito entre las partes y sea necesario para su mantenimiento o cumplimiento (artículo 6.2 de la citada Ley Orgánica). En el asunto que nos ocupa los hechos probados acreditan que los datos personales de la denunciante, nombre, dos apellidos y número de DNI, fueron tratados por TME asociados a la línea de teléfono ***TEL.1 con posterioridad al conocimiento de la solicitud de baja de la denunciante con fecha 9 de julio de 2012 y siguieron siendo tratados sin su consentimiento, al menos hasta la fecha de baja efectiva en el servicio diciembre de 2012. (hecho probado cuarto). Hay, por tanto, que afirmar que la denunciante revocó el consentimiento en el momento en que solicitó la baja del contrato y que, sin embargo, TME siguió tratando los datos personales de la denunciante sin su consentimiento enviándole facturas, al menos, hasta el 25 de diciembre de 2012 e incluyéndola en un fichero de solvencia patrimonial hasta junio de 2013, cuando consta el conocimiento de la baja el 9 de julio de 2012. En este sentido la Sentencia de la Audiencia Nacional de 10/12/2010 RCA 741/2009 establece lo siguiente al tratar sobre la revocación del consentimiento por parte de una denunciante: “Y es precisamente la utilización de esos datos, y su consiguiente tratamiento, una vez que la afectada había manifestado de forma expresa la revocación de su inicial consentimiento y la baja en dicha compañía, lo que determina la comisión de la infracción que se le imputa, pues no puede sostenerse que la prestación de un consentimiento inicial permita seguir utilizando y tratando los datos de una persona una vez que esta ha manifestado de forma expresa su voluntad de rescindir el contrato que justificó su inicial captación, ni, por supuesto, seguir emitiendo facturas correspondientes a periodos en los que no tenía contrato suscrito, pues en caso contrario la datos de una persona y su protección quedaría permanentemente expuesta y fuera del control del afectado por el simple hecho de haber prestado en su día su consentimiento con un propósito determinado que desapareció”. TME alega que la denunciante abono las facturas y que, por tanto, se debe considerar como una prueba del consentimiento para el tratamiento de los datos en materia de protección de datos. Sin embargo de las mismas declaraciones de la denunciante, de los datos aportados por TME y de los datos que obran en los ficheros de solvencia patrimonial se desprende que a partir de la solicitud de baja en la línea no se abono ninguna cantidad por parte de la denunciante. (hecho probado primero, séptimo y folio 10) Por tanto, la entidad denunciada no ha adoptado las medidas a las que le obliga la diligencia mínima que debe observar en el tratamiento de los datos de las personas en relación con los productos de telecomunicaciones que comercializa. Es esta falta de diligencia -materializada en el hecho de haber seguido tratando los datos personales de la denunciante una vez que se había producido la revocación del consentimiento lo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 hace recaer sobre la denunciada la responsabilidad por los hechos enjuiciados. En consecuencia, la conducta de TME anteriormente descrita vulnera el principio del consentimiento que proclama el artículo 6.1 de la LOPD, infracción tipificada en el artículo 44.3.
  9. b)de la citada Ley Orgánica que dispone: “Son infracciones graves, (..):
  10. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV El artículo 44.3.
  11. b)de la LOPD, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, Procede a continuación abordar si la conducta de TME, que estimamos vulnera el artículo 6.1 de la LOPD, puede subsumirse en el tipo sancionador contemplado en el artículo 44.3
  12. b)y si, en tal caso, la infracción es imputable a esa entidad. A) Respecto a la primera de las cuestiones planteadas, una vez constatado que la denunciada realizó la acción típica – infracción del principio del consentimientodebemos analizar si concurre el elemento subjetivo de la culpabilidad, cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Así, en STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el ámbito del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”.(El subrayado es de la AEPD) Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
  13. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD). En esta misma Sentencia la Sala de lo Contencioso- Administrativo de la Audiencia Nacional hace referencia también al grado de diligencia que es exigible a aquellas entidades cuya actividad conlleva un continuo tratamiento de datos de clientes y de terceros, indicando a este respecto lo siguiente: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD) Debe señalarse en primer término que basta la mera inobservancia de la diligencia exigible para que esté presente el elemento culpabilístico de la infracción, sin que sea preciso con carácter imprescindible la culpa grave. El elemento subjetivo de la culpabilidad se concreta aquí en la falta de diligencia observada por TME, al haber seguido tratando datos personales de la denunciante una vez que se había producido la revocación del consentimiento por parte de la denunciante lo que hace recaer sobre la denunciada la responsabilidad por los hechos enjuiciados. B) Respecto a la segunda de las cuestiones planteadas, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
  14. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En este caso la infracción del artículo 6.1 es imputable a TME en su condición de responsable del fichero al que, sin consentimiento de la afectada, se incorporaron sus datos personales. V Por lo que respecta a la infracción del artículo 4.3 de la LOPD que se imputa a TME deben hacerse las siguientes consideraciones: A) Los principios generales de protección de datos regulados en los artículos 4 a 12, que integran el Título II de la Ley Orgánica 15/1999, constituyen el contenido esencial de este derecho fundamental. La Audiencia Nacional en diversas sentencias (entre otras SAN de 24 de marzo de 2004 y 7 de julio de 2006) ha señalado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la STAN de 25 de julio de 2006 manifiesta: “…dichos principios sirven para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. Entre tales principios se recoge –artículo 4.3- el de exactitud o veracidad, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento -exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. La Directiva 95/46 CE, del Parlamento Europeo y del Consejo, que traspone la LOPD, establece en su artículo 6. I.
  15. d)que “Los Estados miembros dispondrán que los datos personales sean….
  16. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I” B) Las normas jurídicas reproducidas ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, por una parte, que la deuda sea cierta, vencida, exigible y que haya resultado impagada, y por otra, que se haya requerido de pago al deudor antes de informar los datos a la entidad responsable de la gestión del fichero. Conviene recordar, además, que es el acreedor el responsable de comprobar que los datos que se comunican se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial suministran periódicamente las relaciones de altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el fichero, siendo las entidades informantes las que deciden sobre el alta, el mantenimiento y la cancelación de los datos de los clientes de los referidos ficheros. C) En el asunto que nos ocupa resulta probado que TME trató en sus sistemas informáticos datos personales de la denunciante (nombre, apellidos, número de DNI, domicilio) asociados a una línea de telefonía móvil sobre la que había solicitado la baja y había revocado el consentimiento. Por ello, el tratamiento posterior de esos datos, materializado en la emisión de facturas por unos servicios que la denunciante ya no tenía contratado determinó que la operadora le imputara una deuda que, respecto a la denunciante, no era cierta, ni vencida ni exigible. (hechos probados segundo, cuarto y sexto) Posteriormente, ante el impago de la deuda generada TME comunicó a los ficheros de solvencia patrimonial ASNEF y BADEXCUG incidencias asociadas a los datos personales de la denunciante (hechos probados séptimo, octavo y noveno) En consecuencia, los datos personales del denunciante fueron incluidos por TME en el fichero de solvencia patrimonial ASNEF y BADEXCUG vinculados a una deuda a la que era ajena la denunciante; deuda que no era cierta, ni vencida ni exigible desde la perspectiva de la afectada, por cuanto no tenía la condición de deudora, ya que había revocado su consentimiento dándose de baja en la línea controvertida. Por ello la información comunicada por TME a los ficheros Asnef y Badexcug, según ha manifestado la compañía no se ajustó al principio de exactitud y veracidad, que inspiran C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 el principio de calidad del dato que proclama el artículo 4.3 de la LOPD. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
  17. c)de la citada norma, que dispone: “Son infracciones graves, (..)
  18. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. VI Invoca TME la vulneración del principio de presunción de inocencia que garantiza el artículo 24.2 de la C.E. En el caso que nos ocupa la existencia de una prueba de cargo clara y acreditativa de los hechos que motivan la imputación contra TME está fuera de toda duda, por lo que debe rechazarse el alegato sobre la vulneración del principio mencionado. VII El artículo 45.1, 2, 4 y 5 LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  19. a)El carácter continuado de la infracción.
  20. b)El volumen de los tratamientos efectuados.
  21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  22. d)El volumen de negocio o actividad del infractor.
  23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  24. f)El grado de intencionalidad.
  25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 de los criterios enunciados en el apartado 4 de este artículo.
  30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD solicitada por la entidad TME, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En lo que se refiere al artículo 6.1 de la LOPD: No se dan las circunstancias mencionadas, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, debido, por un lado, a que no obra en el expediente ningún elemento que lleve a estimar la concurrencia de las circunstancias previstas en los apartados c),
  34. d)y
  35. e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar, siempre, por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos, como de forma reiterada sostiene la Audiencia Nacional, entre otras, en Sentencia de 26 de noviembre de 2008. No se puede apreciar tampoco respecto a la circunstancia prevista en el apartado
  36. b)del artículo 45.5 de la LOPD respecto de la infracción del artículo 6.1 de la LOPD: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, ya que con posterioridad al conocimiento de la entidad denunciada de la baja comunicada por la denunciante, TME siguió tratando los datos personales de la denunciante sin su consentimiento, como si el contrato siguiera en vigor y facturó a la denunciante durante al menos cuatro meses más. (hechos probados segundo y tercero) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 Por tanto la falta de reacción diligente, impide una reducción de la cuantía. Tampoco procede la aplicación del artículo 45.5
  37. d)de la LOPD con respecto al artículo 6.1 de la LOPD, ya que la entidad denunciada realizó alegaciones de derecho sustantivo que afectan al fondo del asunto, solicitando el archivo del procedimiento sancionador en lo relativo a la infracción del artículo 44.3
  38. b). Por otro lado la citada compañía tampoco lo solicitó en las alegaciones al acuerdo de inicio. Por todo ello, procede imponer, por la infracción cometida, una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45. En lo que se refiere al artículo 4.3 de la LOPD: La consideración del reconocimiento voluntario de la responsabilidad para el establecimiento de la cuantía de la sanción ya se advertía en el acuerdo de apertura del presente procedimiento sancionador, en el que expresamente se advierte lo siguiente: “… así como la posibilidad de reconocer voluntariamente su responsabilidad a los efectos previstos en el artículo 8 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora y del establecimiento de la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso de acuerdo con lo previsto en el artículo 45.5
  39. d)de la ley 15/1999 de 13 de diciembre de protección de datos de carácter personal”. En el presente caso, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves porque la entidad ha reconocido voluntariamente su responsabilidad. La entidad denunciada solicita, así mismo, en las alegaciones a la propuesta de resolución una sanción menor de la infracción del artículo 44.3
  40. c)solicitando la aplicación del artículo 45.5
  41. b), unida a la del artículo 45.5 d). Al respecto hay que señalar que no es posible la aplicación de dicha solicitud ya que se incluyeron en ficheros de solvencia patrimonial datos personales de la denunciante incluso con posterioridad a la carta de reclamación de la denunciante durante varios meses. Por todo ello, procede imponer, por la infracción cometida, una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45. En cuanto a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, consideramos que concurren diversas circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar, el importante volumen de negocio de TME (apartado d, del artículo 45.4), dado que estamos ante el primer operador del país por cuota de mercado, hecho notorio sobre el que no es necesaria prueba. Están presentes también las circunstancias recogidas en los apartados siguientes del artículo 45.4 ya citado: apartado c), que versa sobre la vinculación de la actividad de TME con la realización de tratamientos de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 carácter personal, pues el desarrollo de su actividad empresarial exige un constante tratamiento de datos personales tanto de clientes como de terceros. Se estima por otra parte la presencia de la agravante recogida en el apartado f), relativo al grado de intencionalidad, habida cuenta de que ésta expresión debe interpretarse en el sentido de grado de “culpabilidad” y no en su sentido literal, lo que equivaldría al dolo, y de que la denunciada demostró una falta de diligencia al no dar de baja efectivamente la línea , ni observar las cautelas imprescindibles en la revocación del consentimiento por parte de la denunciante, como posteriormente, al incluir sus datos personales en un fichero de solvencia patrimonial después del conocimiento de la baja de la línea por parte de la reclamante. Respecto del incumplimiento del artículo 6.1 valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD, cuya presencia ha quedado acreditada, y habida cuenta de que no concurren las circunstancias contempladas en el artículo 45.5 de esta norma, se sanciona a TELEFÓNICA MÓVILES ESPAÑA S.A. con una multa de 50.000 € (cincuenta mil euros) de la que esa entidad es responsable. Respecto del incumplimiento del artículo 4.3 hay que señalar que, valoradas en conjunto las circunstancias previstas en el artículo 45.4 de la LOPD, cuya presencia ha quedado acreditada, y habida cuenta de que concurre la contemplada en el apartado
  42. d)del artículo 45.5 de esta norma, se acuerda sancionar a TELEFÓNICA MÓVILES ESPAÑA S.A. con una multa de 20.000 € (veinte mil euros) Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA MÓVILES ESPAÑA S.A. por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  43. b)de dicha norma, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad TELEFÓNICA MÓVILES ESPAÑA S.A. por una infracción del artículo 4.3, en relación con el 29.4 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  44. c)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.2 en relación con el 45.5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a TELEFONICA MOVILES ESPAÑA SAU y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.