PS-00055-2019

1/11 Procedimiento Nº: PS/00055/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en consideración a los siguientes ANTECEDENTES PRIMERO: En fecha 31/08/2018 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en adelante, el reclamante) en el que expone que VODAFONE ESPAÑA, S.A.U., con NIF A80907397 (en lo sucesivo, VODAFONE o la reclamada), entidad de la que no es cliente ni lo ha sido desde hace más de quince años, ha tratado sus datos bancarios sin legitimación toda vez que le ha pasado al cobro un recibo de servicios en una cuenta bancaria de la que es titular en la entidad Banco Sabadell. El reclamante aporta una copia del documento de adeudo directo emitido por Banco Sabadell a su nombre en el que figura la fecha de 27/08/2018. En la casilla del documento destinada a “Nombre del acreedor” figura “Vodafone”; en la casilla “Identificación del acreedor”, “(...)” y como “Referencia del adeudo”, la indicación “02940400245677”. SEGUNDO: A la vista de los hechos expuestos, la AEPD, en fecha 10/10/2018, en el ámbito del expediente número E/07263/2018 y al amparo del artículo 9 del Real Decreto-Ley 5/2018, de medidas urgentes para la adaptación del Derecho español a la normativa europea en materia de protección de datos -norma vigente entonces y que sería derogada por la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantías de los derechos digitales (LOPDGDD)- dio traslado a VODAFONE de la reclamación y le solicitó que, en el plazo de un mes desde su recepción, informara a esta Agencia sobre la decisión que hubiera adoptado para poner fin a la situación irregular provocada; sobre la comunicación de su decisión al reclamante, debiendo acreditar la recepción por el reclamante de esa comunicación, y sobre las medidas adoptadas para evitar que se produzcan en el futuro hechos similares. El escrito, firmado por la AEPD el 10/10/2018, se notificó a VODAFONE electrónicamente siendo la fecha de puesta a disposición y la fecha de aceptación de la comunicación el 10/10/2018. A su vez, la AEPD remitió al reclamante en la misma fecha un escrito en el que acusaba recibo de su reclamación y le informaba de su traslado a la reclamada. La notificación electrónica de ese escrito es de 10/10/2018. Transcurrido el plazo de un mes otorgado a VODAFONE para responder a la solicitud informativa sin que se hubiera recibido respuesta, la AEPD reiteró su petición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 a través de un nuevo escrito de fecha 16/11/2018 en el que otorgaba un plazo de cinco días hábiles para responder. Este escrito fue notificado electrónicamente a VODAFONE siendo la fecha de puesta a disposición el 16/11/2018 y la fecha de acceso de la operadora al documento el 26/11/2018. La reclamada tampoco respondió en esta ocasión a la solicitud de información. De conformidad con lo dispuesto en el artículo 65.2 de la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), el 21/03/2019 se firma el acuerdo de admisión a trámite de la presente reclamación. En fecha 28/02/2018 - un día después de que la Directora de la AEPD firmara el acuerdo de inicio del procedimiento sancionador- tuvo entrada en el Registro de este organismo la respuesta de VODAFONE a la solicitud de información efectuada en el marco del E/07263/2018. Así pues, la entidad respondió al citado requerimiento cuando habían transcurrido más de tres meses desde que recibió -el 26/11/2018- el escrito reiterando la petición informativa efectuada por la Agencia el 10/10/2018. TERCERO: Con fecha 27 de febrero de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD sancionada en el artículo 83.5 del RGPD. CUARTO: Notificado el acuerdo de inicio, la reclamada presentó alegaciones en las que solicitó que la Agencia acordara el sobreseimiento del expediente sancionador que nos ocupa y procediera, en consecuencia, al archivo de las actuaciones. En apoyo de tal pretensión adujo lo siguiente: - Reconoce “los hechos objeto de este procedimiento sancionador, debido a que utilizó el número de cuenta del Sr. A.A.A. sin su consentimiento para facturar unos servicios”. No obstante, manifiesta que “los hechos tuvieron lugar a causa de un error, probablemente en el alta de los servicios a nombre del Sr. B.B.B.” (el subrayado es de la AEPD). - Alega que la contratación realizada por el Sr. B.B.B. (en lo sucesivo el tercero) fue consentida y querida y que, si bien en la ficha del tercero que obra en sus registros constaba asociada a él el número de cuenta bancaria del reclamante, no existió un alta fraudulenta ni una suplantación de identidad. - Que tuvo conocimiento de los hechos que dan lugar a la apertura del procedimiento sancionador cuando recibió la petición informativa. en el marco C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 del expediente E/7263/2018, y que, de inmediato, llevó a cabo todas las actuaciones que estaban en su mano para corregir el error producido. Así, contactó con el tercero para obtener sus datos bancarios y eliminar los del reclamante. Anexa una captura de pantalla en la que, afirma, “puede comprobarse que dicho número de cuenta ya se encuentra modificado”. - Explica que si no respondió a la solicitud informativa de la Agencia en el plazo otorgado para ello se debió al elevadísimo número de peticiones de información que en esas fechas había recibido de la AEPD y que no existió por su parte, en ningún caso, intención de no contestar por lo que respondió a esa solicitud en fecha 28/02/2019. - Anexa al escrito de alegaciones al acuerdo de inicio copia de su respuesta al requerimiento informativo -documento que ya había remitido a la Agencia el 28/02/2019-. En él hace un relato de los hechos, de los motivos por los que se produjeron y de las acciones adoptadas para garantizar la resolución del problema. Anexó, asimismo, una copia de la carta que envió al reclamante informándole de lo ocurrido y de las medidas adoptadas. - Concluye que si bien los hechos se han causado por su conducta éstos son fruto de un error en el alta; error humano que debe ponerse en relación con el principio de culpabilidad. Con carácter subsidiario -para el caso de que la AEPD concluya que existió una infracción de la normativa de protección de datos- solicita que valore como circunstancia atenuante a efectos de fijar el importe de la sanción a imponer las acciones que llevó a cabo para poner fin a esa situación nada más tener noticia de la reclamación. QUINTO: Con fecha 26/08/2019, a tenor de la previsión del artículo 77 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se abre un período de práctica de prueba. Se acuerda dar por reproducida la reclamación interpuesta por el reclamante y la documentación adjunta a ella; los documentos obtenidos y generados por los Servicios de Inspección ante VODAFONE, documentos que integran el expediente E/07263/2018, así como las alegaciones al acuerdo de inicio del PS/00055/2019 presentadas por la reclamada y la documentación adjunta. La instructora del expediente acuerda, también, practicar determinadas pruebas ante VODAFONE (I) y ante la entidad financiera Banco Bilbao Vizcaya Argentaria, S.A. (BBVA) (II) I. La reclamada responde a las pruebas solicitadas en sendos escritos de fecha 20/09/2018, presentado electrónicamente, y de fecha 23/09/2019, presentado en soporte físico ante el Registro del organismo – al no ser posible adjuntar grabaciones a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 través de la sede electrónica- con el que anexa un CD con una grabación. La reclamada manifiesta que, efectuada una búsqueda en los sistemas de VODAFONE, no consta ninguna información relativa al reclamante (Sr. A.A.A.) como cliente de la entidad y añade que el tercero (Sr. B.B.B.) continúa activo como cliente suyo. Respecto a cómo llegaron a la ficha cliente del tercero los datos de la cuenta bancaria del reclamante VODAFONE ofrece esta explicación: “El número de cuenta indicado, que termina en XXX fue facilitado cuando se realizó la contratación a nombre de B.B.B.” y aporta los siguientes documentos: “…documento SEPA donde figura dicho número de cuenta, grabación donde dicho número es aportado (minuto 4:10 de la grabación en adelante) y contrato, todos de 27 de julio de 2018”. De entre los documentos mencionados no cabe atribuir ningún valor probatorio a la copia del contrato celebrado entre la reclamada y el tercero y a la orden de domiciliación de adeudo SEPA, de fecha 27/07/2018, en la que aparecen los datos bancarios del reclamante asociados a la persona del tercero, ya que ninguno de esos documentos se encuentra firmado por el tercero y cliente de VODAFONE. VODAFONE aporta también un CD con la grabación de la conversación mantenida entre el tercero, cliente suyo, y el empleado de la compañía perteneciente al Departamento de verificación. La grabación comienza cuando un comercial de la operadora contacta con el empleado de VODAFONE (operador del Departamento de verificación) para dar paso a los clientes a los que se les ha ofertado el producto one, ADSL + línea móvil, sin televisión. Seguidamente la comunicación pasa del comercial al señor B.B.B. con quien el operador de verificación de VODAFONE mantendrá una conversación. Este empleado de VODAFONE le informa de que va a confirmar los datos de la oferta y los datos personales que ha facilitado y , posteriormente, van proceder a la grabación de la contratación. Resulta evidente desde un primer momento que el señor B.B.B. (de nacionalidad holandesa) habla castellano con dificultad. El operador de VODAFONE solicita al titular, señor B.B.B., que le facilite el número de DNI; la fecha de nacimiento; la nacionalidad; un teléfono móvil de contacto y seguidamente (minuto 4.07 de la grabación) el nombre de la entidad. El cliente dice: “(...)”. Seguidamente pide que le confirme los cuatro últimos dígitos de la cuenta y le facilita los números “XXXX” VODAFONE aporta también en respuesta a las pruebas solicitadas diversas capturas de pantalla de sus sistemas de las que se evidencia: - Que el tercero contrató con ella el 27/07/2018 - Que las facturas emitidas por VODAFONE a nombre del tercero se estuvieron domiciliando en una cuenta que, según manifiesta la operadora, el cliente “solicita en grabación de contrato...”. - VODAFONE explica, en relación con las facturas emitidas que fueron domiciliadas en la cuenta de la que es titular el reclamante, que el “cliente siempre acababa pagándolas con Tarjeta de Crédito y existen interacciones donde cliente reclama que no se le estaban domiciliando en su banco”. - Que en fecha 22/02/2019 se cambian los datos bancarios y la nueva cuenta es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 ***CUENTA.1 - VODAFONE ha aportado una relación de todas las facturas emitidas a nombre del tercero desde la fecha de alta del contrato (agosto de 2018) hasta la fecha en la que se actualizan los datos bancarios suprimiendo la cuenta del reclamante, febrero de 2019. La captura de pantalla relativa al “Estado de cuentas” a nombre del cliente, es una relación de todas las facturas que se emitieron entre el 18/09/2018 y el 01/09/2019 en la que figuran, entre otros datos, su importe, el documento de compensación, la fecha de compensación, el número de operación y bajo la rúbrica denominación, la indicación “Cobro por tarjeta”. - Aporta capturas de pantalla relativas a cada una de las facturas emitidas en agosto, septiembre, octubre, noviembre y diciembre de 2018 y enero y febrero de 2019. En todas ellas se observa que el pago de la factura está domiciliado en el Banco y que, después de una o dos menciones a la existencia de una “operación fallida”, consta, para todas ellas, la indicación de que el pago se efectuó a través de tarjeta bancaria, existiendo una demora de un mes, aproximadamente, entre la fecha de emisión de la factura y la del pago con tarjeta. - Se aportan impresiones de pantalla de las facturas de marzo, abril, junio, julio y agosto de 2019 emitidas al tercero. En toda ellas se hace constar el pago domiciliado en la cuenta bancaria de la entidad BBVA finalizada en los dígitos YY. II. Se practica prueba ante BBVA solicitando que informe si los datos bancarios que VODAFONE nos ha facilitado como nueva cuenta de su cliente (el tercero) en sustitución de la cuenta bancaria del reclamante - datos estos últimos que acredita haber eliminado de sus registros- corresponden, efectivamente, a una cuenta de la que es titular el tercero. BBVA responde el 24/09/2019. Confirma que los dígitos identificativos de la cuenta bancaria facilitada por el reclamado corresponden a una cuenta de esa entidad de la que es titular el tercero (el cliente de VODAFONE) que consta abierta a su nombre desde el año 2013. SEXTO: De las actuaciones practicadas han quedado acreditados los siguientes HECHOS 1.- D. A.A.A. denuncia que VODAFONE, entidad de la que no es cliente pero con la que afirma haber mantenido hace más de quince años una relación contractual, ha tratado sus datos bancarios sin su consentimiento al haberle pasado al cobro en su cuenta de Banco Sabadell un recibo por un servicio prestado por la operadora al que él es ajeno. 2.-Obra en el expediente copia del documento de adeudo directo emitido a nombre del reclamante en fecha 27/08/2018, contra su cuenta bancaria en la entidad Banco Sabadell cuyos dígitos identificativos son ***CUENTA.2. En la casilla del documento destinada a “Nombre del acreedor” figura “Vodafone”; en la casilla “Identificación del acreedor”, “(...)” y como “Referencia del adeudo”, la indicación “02-940400245677”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 3. VODAFONE ha reconocido, y aporta captura de pantalla que así lo acredita, que la cuenta bancaria del reclamante ***CUENTA.2 ha figurado en sus sistemas vinculada a su cliente (Sr. B.B.B.) (documento 2 anexo al escrito de respuesta a la solicitud informativa de la Agencia en el marco del E/7263/2018) 4. Sobre el origen de los hechos, VODAFONE ha manifestado que el número de cuenta ***CUENTA.2 “fue facilitado cuando se realizó la contratación a nombre de ...B.B.B.…” y ha remitido a la AEPD una grabación de la contratación “donde dicho número es aportado (minuto 4:10 de la grabación en adelante)” 5. El CD que VODAFONE aporta en fase de prueba recoge, por una parte, la conversación mantenida entre el comercial y el agente de VODAFONE verificador de la contratación. El primero le informa de las características del producto que se ha ofertado al futuro cliente y seguidamente pone en contacto al futuro cliente y al operador de verificación. Esta segunda parte se inicia con la información que el operador de verificación facilita al señor B.B.B. (de nacionalidad holandesa y que como se aprecia habla castellano con dificultad) en la que se le comunica que va a confirmar sus datos personales y los servicios ofertados y posteriormente a grabar la conversación en la que presta el consentimiento a la contratación. El operador de verificación solicita al señor B.B.B. que le facilite el número de DNI; la fecha de nacimiento; la nacionalidad; un teléfono móvil de contacto y seguidamente (minuto 4.07 de la grabación) el nombre de la entidad. El cliente dice: “(...)”. Seguidamente pide que le confirme los cuatro últimos dígitos de la cuenta y le facilita los números “XXXX” 6. VODAFONE acredita documentalmente que todas las facturas emitidas a nombre de su cliente (cuenta cliente 103253538) desde la celebración del contrato (agosto de 2018) hasta la factura de 15/02/2019 se emitieron con los datos bancarios del reclamante si bien, en todos los casos, se pagaron por el cliente (no por el reclamante) mediante tarjeta de crédito. Aporta los siguientes documentos: - Captura de pantalla del “Estado de cuentas” de su cliente en el que se detallan todas las facturas emitidas. Las emitidas hasta marzo de 2019 llevan el comentario “cobros por tarjeta”. Las emitidas desde marzo de 2019 hasta agosto (última factura que se menciona) llevan la indicación “Recibo domiciliado”. - Capturas de pantalla relativas a cada una de las facturas. En las emitidas entre agosto de 2018 y febrero de 2019 (incluida) se hace mención a la domiciliación del recibo, a la situación de “Fallado” y finalmente al cobro por tarjeta. - Capturas de pantalla de las facturas emitidas desde marzo de 2019 a agosto de 2019. En todas ellas consta que el recibo está domiciliado en la cuenta ***CUENTA.1 7. VODAFONE declaró que después de tener noticia de lo ocurrido a través de la solicitud de información recibida, contactó con su cliente quien procedió a modificar los datos bancarios para la domiciliación de las facturas y le facilitó la cuenta ***CUENTA.1. 8. BBVA ha confirmado a esta Agencia, en respuesta a las pruebas practicadas, que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 señor B.B.B., cliente de VODAFONE, es el titular de la cuenta finalizada en los dígitos YY que se abrió a su nombre en 2013. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Corresponde indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos en la reclamación. El RGPD se ocupa en su artículo 5 de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “licitud, lealtad y transparencia”. El precepto dispone: “1. Los datos personales serán:

1. a)Tratados de manera lícita, leal y transparente con el interesado;” El artículo 6 del RGPD, “Licitud del tratamiento”, detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” El artículo 83 del RGPD señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
4. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 III La denuncia que examinamos versa sobre el tratamiento de los datos bancarios del reclamante efectuado por VODAFONE sin su consentimiento y materializado en la emisión de facturas contra su cuenta bancaria a nombre de un tercero, cliente de la operadora. El tratamiento que VODAFONE ha efectuado de los datos bancarios del reclamante se evidencia de la copia del recibo de adeudo por domiciliación en su cuenta bancaria - que el reclamante aportó con su reclamación- y de las diversas impresiones de pantalla de los sistemas de VODAFONE relativas a las facturas emitidas entre agosto de 2018 y febrero de 2019 (incluido) en las que consta que el pago debía hacerse mediante domiciliación bancaria en la cuenta del reclamante. No obstante, se debe subrayar que, en el presente caso, todas las facturas emitidas por VODAFONE contra la cuenta bancaria del reclamante -facturas que correspondían a los servicios prestados a su cliente- fueron abonadas por el cliente mediante pago con tarjeta bancaria (aproximadamente un mes después de la fecha de emisión de la factura). De tal modo que el reclamante no llegó a hacer efectivo el pago de ninguna de las facturas que se domiciliaron en su cuenta. Paralelamente es digno de mención que, si bien el reclamante afirma que quince años atrás fue cliente de VODAFONE y da a entender que el tratamiento de sus datos bancarios procede de su ficha cliente, por lo que no se encontrarían debidamente bloqueados, lo cierto es que VODAFONE manifestó, en respuesta al requerimiento de la Agencia sobre esta cuestión, que se había efectuado una búsqueda en sus sistemas y no figuraba ninguna información del reclamante como cliente suyo. Constatado que VODAFONE trató los datos bancarios del reclamante sin su consentimiento se ha de determinar cuál es el origen de los datos que fueron objeto de tratamiento por la operadora vinculados a la persona de un tercero (su cliente) y, en particular, si en esa actuación intervino culpa o negligencia de VODAFONE o si la entidad omitió la diligencia que era procedente observar con ocasión de la contratación de los servicios por su actual cliente. Conviene advertir que, como la reclamada expuso en su escrito de alegaciones al acuerdo de inicio, no pudo responder al requerimiento informativo de la AEPD en plazo y cuando respondió a la solicitud de información el acuerdo de inicio del procedimiento ya estaba firmado. Así pues, las explicaciones de VODAFONE entraron en esta Agencia cundo ya se había dictado el acuerdo de inicio del expediente. Pues bien, en sus alegaciones VODAFONE reconoce los hechos -que trató los datos bancarios del reclamante sin su consentimiento para facturar los servicios de un cliente- y explica que éstos se produjeron por un error en el alta de los servicios del Sr. B.B.B.. Explica que en la ficha de este cliente, en los sistemas de VODAFONE, constaba asociada a él el número de cuenta bancaria del reclamante. Y añade que ni estamos ante un alta fraudulenta ni ante una suplantación de identidad. La entidad ha aportado en prueba de lo manifestado un CD que contiene la grabación efectuada por un agente verificador de contratación de su compañía. La llamada la efectúa un comercial quien informa al agente de cuál ha sido el producto ofertado y pone en contracto al Sr. B.B.B. (futuro cliente) con el agente verificador. Es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 en esa conversación cuando el agente verificador solicita del Sr. B.B.B. que le confirme varios datos personales entre ellos la entidad bancaria en la que se domiciliará el pago y los últimos cuatro dígitos de su cuenta bancaria. Es perfectamente audible como el cliente identifica su entidad bancaria como “b.b.s.” y los cuatro últimos dígitos como “XXXX”, datos que coinciden con la cuenta bancaria del reclamante en Banco Sabadell. Del tenor de la grabación aportada se infiere que los datos del futuro cliente fueron facilitados al agente verificador por el comercial (quien a su vez los había recabado del futuro cliente) y que, por tanto, en el curso de la grabación el agente verificador se limitó a constatar que los datos que obraban en su poder eran los mismos que el futuro cliente (en este caso el Sr. B.B.B.) había proporcionado al comercial. Lo que explica que el agente verificador se limitara a solicitar al cliente que le confirmara, no los veinte dígitos de la cuenta, sino exclusivamente, el nombre de la entidad y las cuatro últimas cifras. A la vista de las circunstancias que concurren en el supuesto examinado estimamos que la documentación aportada por VODAFONE evidencia que esa entidad, con ocasión de la contratación de sus servicios a nombre del Sr. B.B.B., momento en el que éste le facilitó sus datos bancarios con el propósito de domiciliar el pago de sus servicios, adoptó la diligencia mínima que parecía exigible. Esta circunstancia -la diligencia desplegada por la operadora- priva a su conducta de la culpabilidad, imprescindible para poder exigir responsabilidad administrativa por conductas que en principio son antijurídicas. En definitiva, por más que la conducta analizada pueda coincidir, a priori, con el tipo sancionador del artículo 83.5.
5. a)del RGPD, tal conducta no es merecedora de reproche o sanción administrativa al no apreciarse en ella falta de diligencia de la reclamada. La exigencia de responsabilidad sancionadora presupone la concurrencia del elemento subjetivo de la infracción, requisito esencial en tanto rige en nuestro Derecho sancionador el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo como condición para que nazca responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A su vez, la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”, “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en este último caso la mera inobservancia del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 deber de cuidado. En Sentencia de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional decía que “....el ilícito administrativo previsto en el artículo 44.3.
6. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” A ese respecto son muy esclarecedoras las siguientes SSAN: La de fecha 26/04/2002 (Rec. 895/2009) que expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la AEPD) También la SAN de 29/04/2010 que en su Fundamento Jurídico sexto, y a propósito de una contratación fraudulenta, indicó que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) A tenor de las reflexiones precedentes, habida cuenta de que en el presente caso se ha constatado que VODAFONE actuó con una diligencia razonable y adoptó las medidas que las circunstancias del caso exigían para garantizar que los datos incorporados a sus ficheros habían sido facilitados por el cliente, está ausente el elemento subjetivo de la infracción. Por ello, ninguna responsabilidad sancionadora deriva de los hechos que se someten a la valoración de este organismo debiendo, en consecuencia, acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a VODAFONE ESPAÑA, S.A.U., con NIF A80907397. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es