← España

PS-00057-2016

1/15 Procedimiento Nº PS/00057/2016 RESOLUCIÓN: R/01840/2016 En el procedimiento sancionador PS/00057/2016, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA DE ESPAÑA, S.A.U., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas 11/03 y 12/06/2015 tiene entrada en la Agencia Española de Protección de Datos una denuncia de A.A.A. (en adelante el denunciante), manifestando:

  1. Con fecha 7/04/2014 solicita el acceso a EQUIFAX respecto a la inclusión de sus datos en el fichero ASNEF, teniendo conocimiento con fecha 05/05/2014 de una deuda con TELEFÓNICA ESPAÑA S.A.U, dada de alta con fecha 19/07/2011, por importe de 225,93€ y con domicilio en C/ (C/...1) 17, Bajo, Casa, ***CP.1, ***LOCALIDAD.1 (Murcia). Aporta copias de los documentos.
  2. Con fecha 15/05/2014 solicitó información telefónica a la denunciada informándole que la deuda actualizada asciende a 594,49€ en relación a unas facturas impagadas de las líneas ***TEL.1 (dirección: C/ (C/...2), nº 79, bajo, ***LOCALIDAD.2) y ***TEL.2 (dirección: C/ (C/...1) 17, Bajo, Casa, ***CP.1, ***LOCALIDAD.1 (Murcia).
  3. Ninguna de las dos líneas han sido contratadas con su conocimiento ni consentimiento.
  4. Realizó reclamaciones telefónicas con fechas 21/10/2014 (nº tramitación: ***NÚM.1 41) y 11/12/2014 (nº tramitación: ***NÚM.2), no habiendo recibido respuesta.
  5. Con fecha 02/06/2015 formula denuncia (atestado nº ****/15) ante la DGPComisaría de Murcia-San Andrés-ODAC en relación a los hechos descritos. Junto con la denuncia aporta la siguiente documentación: - C/ Jorge Juan, 6 28001 – Madrid Fotocopia del acuse de recibo en correo electrónico de fecha 14/05/2014 en referencia a la solicitud “realiza una reclamación” (nº de registro ***REGISTRO.1) dirigida a clientes@comunicacion.movistar.es para su www.agpd.es sedeagpd.gob.es 2/15 dirección de correo: ......@gmail.com. - Fotocopia en documento 3 del correo remitido con fecha 10/06/2014 desde la dirección del denunciante para clientes@comunicacion.movistar.es solicitando respuesta a su reclamación, reseñando como líneas la ***TEL.3 y ***TEL.4 SEGUNDO: Con fecha 24/06/2015 se solicita a TELEFÓNICA DE ESPAÑA S.A.U (TE) información relativa al denunciante y las líneas telefónicas contratadas con las numeraciones: ***TEL.1 y ***TEL.
  6. De la respuesta recibida con fecha 13/10/2015, se desprende lo siguiente:  EN RELACIÓN A LA CONTRATACIÓN o Línea ***TEL.2 En los sistemas de la compañía TE figuran los datos del denunciante: DNI, nombre y apellidos, domicilio C/ (C/...1) 17, Bajo, Casa, ***LOCALIDAD.1 (Murcia).  Fecha de alta: 16/03/2011  Fecha de Baja: 04/07/
  7.  Motivo de la Baja: Falta de pago. No se aporta copia del contrato suscrito. TE manifiesta al respecto que no ha sido posible localizar dicho contrato, aunque ha existido consumo. o TE relaciona para la línea ***TEL.2 seis facturas emitidas durante el período 04/04/2011-04/09/2011, cuyo importe total asciende a 469.67€. Se incorpora al escrito fotocopia de la cabecera de la factura nº ***FACTURA.1, de fecha 4/04/
  8. No se detalla la modalidad de contratación. o Línea ***TEL.1 En los sistemas de la compañía figuran los datos del denunciante: DNI, nombre y apellidos, domicilio C/ (c/....3) 79, Bajo, apartamento, ***LOCALIDAD.2 , Murcia.  Fecha de alta: 14/02/2011  Fecha de Baja: 13/03/
  9.  Motivo de la Baja: Falta de pago. No se aporta copia del contrato suscrito. TE manifiesta al respecto que no ha sido posible localizar dicho contrato, aunque ha existido consumo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 Se incorpora al escrito fotocopia de la cabecera de la factura nº ***FACTURA.2, de fecha 28/03/
  10. No se detalla la modalidad de contratación. o Para la línea ***TEL.1 enumera dos facturas emitidas con fecha 04/03/2011 y 28/03/2011, cuyo importe total asciende a 208,07€. o Añade que no existe en el sistema deuda asociada al denunciante. Se acompaña impresión de pantalla.  EN RELACIÓN A LAS COMUNICACIONES ENTRE LA ENTIDAD Y EL CLIENTE La compañía manifiesta que no existen contactos asociados al denunciante.  EN RELACIÓN A LA INCLUSIÓN DE LOS DATOS EN FICHEROS DE MOROSIDAD La entidad manifiesta que los datos del denunciante se encuentran excluidos de Ficheros de Solvencia. TE no detalla al respecto, las fechas de la inclusión y exclusión de los datos del afectado en ficheros de morosidad ni los motivos por los que, en su caso, se haya solicitado la exclusión de los mismos. TERCERO: Con fecha 24/11/2015 se solicita a EQUIFAX información relativa al denunciante en relación con deudas informadas por TELEFÓNICA DE ESPAÑA S.A.U. De la respuesta recibida con fecha 27/11/2015, se desprende lo siguiente:  A fecha de consulta 24/11/2015, no consta información incluida en el fichero ASNEF.  Respecto al fichero de NOTIFICACIONES DE INCLUSIÓN: o Informadas por la entidad TELEFÓNICA DE ESPAÑA, figuran a nombre del denunciante con dirección en C/ (C/...1), 17, Bajo, Casa, ***LOCALIDAD.1 (Murcia) las siguientes:  Con fecha de emisión 23/07/2011, notificación en relación a un producto de telecomunicación por importe de 127,18€.  Con fecha de emisión 19/08/2015, notificación en relación a un producto de telecomunicación por importe de 225,93€.  Respecto al fichero de BAJAS, constan las siguientes operaciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 o De las operaciones informadas por la entidad TELEFÓNICA DE ESPAÑA:  Operación con fecha de alta y baja en ASNEF, 19/07/201114/07/2015, por importe de 225,93€. El motivo de la baja consta como “F.Pura”  Operación con fecha de alta y baja en ASNEF, 18/08/201514/10/2015, por importe de 114,83€. El motivo de la baja consta como “F.Pura”.  En el Servicio de Atención al Cliente de Equifax, figura el expediente nº 2014/*****, asociado al titular de referencia, en relación a la solicitud formulada por el denunciante en un escrito de fecha 07/04/2014 de acceso a los datos registrados en el fichero ASNEF. Se acompaña copia de la documentación asociada al citado expediente. CUARTO: Con fecha 23/02/2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TELEFÓNICA DE ESPAÑA, S.A.U. por infracción de los artículos 6.1 y 4.3 de la LOPD, tipificadas como graves en los artículos 44.3.b) y 44.3.c) de dicha LOPD. Con fecha 2/03/2016 la denunciada obtuvo copia del expediente. QUINTO: Notificado el acuerdo de inicio, mediante escrito de fecha 18/03/2016,3 la denunciada reitera lo ya manifestado y añade: 1) El correo electrónico del folio 10, de 14/05/2014, que supuestamente se envió a la denunciada, contiene la reclamación sobre una línea fija que no se corresponde con las denunciadas. En el recuadro se hace referencia a la línea ***TEL.
  11. 2) No han tenido conocimiento sino hasta la petición de información solicitada en actuaciones previas de las circunstancias. La interposición de la denuncia ante la Policía la efectúa el denunciante tras petición de la Agencia, constando interpuesta el 2/06/
  12. 3) Solicitan que se aplique el artículo 8 del RD 1398/1993 que se complementa con el 45.5.d) de la LOPD. Además solicitan que se aplique el artículo 45.5.b) pues regularizó de forma rápida la situación, que fue en cuanto tuvo conocimiento de los hechos. SEXTO: Con fecha 21/06/2016, se emitió propuesta de resolución, con el literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Datos se sancione a TELEFÓNICA DE ESPAÑA S.A.U. con multa de 40.000 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c) de dicha norma, de conformidad con el artículo 45.1, 2, 4 y 5 de dicha LOPD. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a TELEFÓNICA DE ESPAÑA S.A.U. con multa de 40.000 €, por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.b) de dicha norma, de conformidad con el artículo 45.1, 2, 4 y 5 de dicha LOPD.” SÉPTIMO: Con fecha 13/07/2016 se recibieron alegaciones de la denunciada, reiterando lo ya manifestado, e incidiendo en la desproporción de las dos sanciones. Aporta como precedente, el del procedimiento sancionador PS/323/2013 en el que se impusieron 4.000 euros teniendo en cuenta que se regularizó la situación irregular de manera diligente, y se reconoció la responsabilidad, así como otras resoluciones en las que se reconoció la responsabilidad y se impusieron 10.000 euros, aunque no especifica los aspectos coincidentes en cuanto a los hechos, reacción y diligencia comparados con el caso actual HECHOS PROBADOS 1) En los sistemas de TE figuraban los datos del denunciante asociados a la línea ***TEL.2, domicilio C/ (C/...1) 17, Bajo, Casa, ***LOCALIDAD.1 (Murcia) alta: 16/03/2011 baja: Falta de pago, 04/07/
  13. No se aporta copia del contrato suscrito. Relaciona para la línea ***TEL.2 la emisión de seis facturas durante el período 04/04/2011-04/09/2011, cuyo importe total asciende a 469.67€. (45, 46). 2) En los sistemas de TE figuraban los datos del denunciante asociados a la línea ***TEL.1 domicilio C/ (c/....3) 79, bajo, apartamento, ***LOCALIDAD.2 , Murcia, alta: 14/02/2011, baja: Falta de pago, 13/03/
  14. No se aporta copia del contrato suscrito relaciona para la citada línea. En esta línea ***TEL.1, se emitieron dos facturas, con fecha 04/03/2011 y 28/03/2011, cuyo importe total asciende a 208,07€.

(45). 3) EQUIFAX como responsable del fichero ASNEF, certifica que en dicho fichero se informaron los datos del denunciante por TELEFÓNICA DE ESPAÑA S.A.U. permaneciendo anotados de 19/07/2011 a 14/07/2015, por importe de 225,93 €, y de 18/08/2015 a 14/10/2015, por importe de 114,83€. Consta que el denunciante ejercicio el derecho de acceso el 7/04/
  1. La fecha de exclusión del fichero: 14/10/2015, acontece tras recibir de la Agencia el 29/06/2015 petición de información sobre las líneas contratadas por el denunciante, contratos suscritos así como datos sobre los impagos que dieron lugar a la inclusión de sus datos en ASNEF (41 a 45). 4) Consta que el denunciante ejercicio el derecho de acceso el 7/04/2014 al fichero ASNEF. El denunciante denunció el alta de las dos líneas por TE en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 la Comisaría de Policía el 2/06/2015 (24-25), tras la presentación de la denuncia en esta Agencia. En la denuncia explica que se enteró que sus datos aparecían en lista de morosos a través de su entidad bancaria y que después se puso en contacto con MOVISTAR. 5) En el fichero ASNEF, según hoja de consultas de esta entidad, a 5/05/2014, figuran consultas de los datos del denunciante el 27/03, 2/04, 3/04 y 23/04/
  2. Los días 3 y 23/04/2014, realizadas a través del Banco “BANKINTER”.
(81). 6) El denunciante aporta en su denuncia copia de correo electrónico de 14/05/2014 de MOVISTAR, de la dirección clientes@comunicacion.movistar.es que da por recibida una reclamación del correo del denunciante registro acabado en 44
(11)pero no se acredita que su contenido se refiera a las dos líneas que el denunciante manifestó le han dado de alta (10 a 15). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II El art. 6 de la LOPD establece en su apartado primero que “el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El art. 3
  2. h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 Ahora bien, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28/02/2007 -recurso nº.236/2005-, “el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. “ Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la Audiencia Nacional de 8/11/2012 -recurso nº. 789/2010-) ligándolo con los posibles responsables de las infracciones que se determina en el artículo 43.1 de la LOPD con el literal: “Los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley.” La LOPD define en su artículo 3: Tratamiento de datos: “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.”, y Responsable del fichero o tratamiento: “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Los datos personales de la denunciante fueron incorporados a los sistemas de información de TE, asociados a dos líneas, se emitieron facturas, y ante su impago en una determinada fecha, permaneciendo en sus sistemas optó también por cederlos al fichero de solvencia. La recogida de los datos ha perdurado, se ha mantenido mientras que en los sistemas han figurado, y ello se acredita que lo han estado durante un periodo continuado, como se acredita que tenía los datos durante todo el periodo que duró la cesión a los ficheros de solvencia, que se actualiza semanalmente durante dicha inclusión. III La infracción cometida por la denunciada aparece tipificada en el artículo 44.3.
  3. b)de la LOPD que indica: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. TE trató los datos personales de la denunciante sin su consentimiento por lo que se ha vulnerado el principio del consentimiento. IV Se imputa a TE una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, que determina: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38 del Reglamento de desarrollo de la LOPD, “Requisitos para la inclusión de datos” dispone lo siguiente: 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  4. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…). Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. En este caso, TE emitió diversas facturas asociadas a los datos personales del denunciante sin que haya acreditado el consentimiento para el tratamiento de sus datos, permaneciendo una deuda que da lugar a inclusión en ficheros de solvencia, por tanto respecto a unas deudas que no pueden estimarse sean correctas, al no ser ciertas veraces ni exigibles por no ser acreditarse que sea el denunciante el titular del servicio contratado, y ante el impago de la citadas facturas, TE informó los datos personales al ficheros de solvencia patrimonial ASNEF. Los hechos anteriormente relatados son contrarios al principio de calidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 datos consagrado en el artículo 4.3, y en relación con el 29.4 de la LOPD. V Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial y crédito como ASNEF suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la denunciante son datos que figuran en los ficheros propios automatizados de la denunciada, pues solo así pueden entenderse que se ceden específicamente al fichero de solvencia. Esta decisión adicional de cesión a este tipo de ficheros constituye una cesión cualificada prevista por la LOPD y su reglamento con una serie de requisitos. Por tanto, constituyen y se atienen en su origen y desarrollo circunstancias diferentes respecto de los datos que se manejan. La denunciada, además de disponer de los datos en sus ficheros, los comunica al responsable del fichero de solvencia a través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (artículo 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En este sentido se pronuncia la Audiencia Nacional en su Sentencia de 18/01/2006, Recurso 0236/2004, “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” El responsable del fichero podría haber decidido no dar de alta los datos, examinando la situación de impago o dar de baja los datos cuando recibió la conciliación judicial, pero no lo hizo Conforme al citado artículo. 3.
  5. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decide sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3, en su apartado c), delimita en qué consiste el tratamiento de datos incluyendo en tal concepto “las operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Es preciso, por tanto, determinar si, en el presente caso, TE puede ser considerado responsable del tratamiento. Esta entidad trató automatizadamente los datos relativos a la denunciante en sus propios ficheros y los comunicó al fichero ASNEF decidiendo sobre la finalidad, contenido y uso del tratamiento en dos ocasiones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 De lo anterior se deduce que las comunicaciones de los importes de la facturas señaladas al fichero citados implica que TE facilitó una información que no respondía a la situación exacta, veraz y actual de denunciante, lo que supone una clara vulneración del principio de calidad de datos, de la que debe responder, por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en ficheros de solvencia patrimonial y crédito. En cuanto al posible concurso medial de infracciones, en este caso se estima que la consumación de un hecho inicial, el tratamiento de datos sin consentimiento, no conlleva la falta de calidad manifestada con el envío de los datos al fichero de solvencia, pues además de necesitarse para la consumación de esta segunda infracción unos elementos propios como son la deuda cierta, veraz, exigible y el requerimiento previo de pago, estos son diferentes a los elementos que integran la consumación del tratamiento de los datos sin consentimiento basado en un contrato que en este caso no existe. Así, lo reconoce entre otras, la Sentencia de la Audiencia Nacional de fecha 28 de agosto de 2012 (rec. 110/2011), en su fundamento de Derecho 6. º:"... ninguna de ambas contravenciones administrativas sancionadas es un medio para la perpetración de la otra. Se da por el contrario la circunstancia de que ambas pueden realizarse con independencia absoluta, porque protegen principios diferentes, en un caso el consentimiento inequívoco que exige todo tratamiento de datos personales (artículo 6.1 de la Ley 15/1999), y, en otro, la calidad de dichos datos personales (artículo 4.3 de la citada LO), a fin de salvaguardar el poder de disposición del titular de los mismos, que integra el derecho fundamental a la protección de los datos. Tal y como hemos tenido ocasión de señalar en supuestos similares al que nos ocupa SAN, Contencioso sección 1 del 10 de Mayo del 2012 (Recurso: 353/2011)." VI El artículo 44.3.
  6. c)de la LOPD, considera infracción grave:
  7. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” El principio de calidad de los datos, se configura como básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. En este caso, TE ha incurrido en la infracción descrita ya que ha vulnerado dicho principio, consagrado en el artículo 4.3 de la LOPD, cuando informó, para su registro en el fichero ASNEF los datos de la denunciante asociados a una deuda que no le correspondían. VII El artículo 45.1, 2, 4 y 5 de la LOPD establece que: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. "2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  8. a)El carácter continuado de la infracción.
  9. b)El volumen de los tratamientos efectuados.
  10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  11. d)El volumen de negocio o actividad del infractor.
  12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  13. f)El grado de intencionalidad.
  14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". En el supuesto examinado, la denunciada ha solicitado la aplicación del artículo 45.5
  23. d)y del 45. 5
  24. b)de la LOPD por entender que reaccionó diligentemente en la subsanación de la infracción al tener conocimiento de los hechos a través de las actuaciones previas el 29/06/2015. El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En relación con la aplicación concurrente de varios de los supuestos previstos en este apartado 5, como ocurre en el presente caso por TE, hay que reseñar la sentencia de la Audiencia Nacional de fecha 28/04/2015, que dice al respecto: “Una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido”. En todo caso, recordar la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26/11/2008). En cuanto a que los datos se excluyeron de ficheros en el momento en que tuvieron las primeras noticias, se debe poner de manifiesto que si bien la inclusión en fichero se da en dos ocasiones, aunque pudiera ser una contratación fraudulenta por alguien que se hace pasar por el denunciante, se aprecia que el denunciante ejercitó el acceso a sus datos en 4/2014, y la denuncia ante la AEPD la interpuso el 11/03/2015. La denunciada tras recibir el escrito de la Agencia el 29/06/2015, parece ser que estudió el caso y a la fecha en que dió su respuesta 6/10/2015 decide ordenar la baja en fichero, que se produce el 14/10/2015. Sin embargo no hay que ignorar que el acuse de recibo de la petición de la Agencia tiene entrada en sede de las denunciada el 29/06/2015 y en el ínterin se produce la baja en fichero de 14/07/2015 que viene del alta de 19/07/2011, procediendo a una nueva alta, de 18/08/2015 a 14/10/2015. Tal cronología de los hechos, pues la denunciada antes de la segunda alta ya pudo saber que tenía indicios suficientes de la irregularidad de la situación que supone la denuncia, lo que impide que pueda calificarse de reacción diligente la actuación de la denunciada, sino más bien lo contrario. En cuanto al reconocimiento espontáneo de la responsabilidad, este se produce una vez efectuadas las alegaciones al acuerdo de inicio, y se contiene en este tal posibilidad, y, va precedido de la exclusión del fichero de solvencia antes del acuerdo de inicio que podría considerarse un signo de dicho reconocimiento. Las citadas circunstancias se dan en el presente caso, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5 de la LOPD, en concreto, su apartado d), pues TE ha reconocido los hechos y su responsabilidad en ellos, posibilidad de la que se informaba en el Acuerdo de inicio del presente procedimiento sancionador y a la que se acoge la entidad denunciada. Procede pues, aplicar la consideración del beneficio del artículo 45.5
  25. d)de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 Por todo ello, en aplicación de lo dispuesto en el artículo 45.5.
  26. d)de la LOPD, procede imponer una multa cuyo importe se encuentre entre 900 € y 40.000 €. Hay que considerar que en este supuesto, están presentes varias circunstancias que operan como agravantes, a saber: 1. En relación con el carácter continuado de las infracciones (apartado 4.a), y según doctrina reiterada de la Audiencia Nacional al respecto, los datos personales del denunciante fueron incluidos, sin justificación legal para ello, en el fichero de solvencia patrimonial ASNEF. No hay que olvidar que los datos estuvieron de 19/07/2011 a 14/07/2015, y de nuevo, conociendo el 29/06/2015 la denunciada la denuncia, se produce nueva alta en fichero ASNEF desde 18/08 a 14/10/2015. Se producen así, dos inclusiones, que suman más de cuatro años. Este período coincide además con la permanencia de los datos en el fichero de TE, siendo aplicable la agravación de la conducta a las dos infracciones. 2. Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. La sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006) exige a estas entidades que observen un adecuado nivel de diligencia, e indica a este respecto: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. 3. Por el volumen de negocio (apartado 4.d), toda vez que estamos ante uno de los principales operadores telefónicos del país. 4. En relación con el grado de intencionalidad (apartado 4.f), recordar con la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), el siguiente criterio: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente caso que la entidad hubiera actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrió en una grave falta de diligencia. Extremo este que se evidencia del relato de hechos probados, que pone de manifiesto que TE infringió los artículos 6.1 y 4.3 de la LOPD al tratar sin consentimiento en sus ficheros e informar posteriormente al fichero de solvencia ASNEF los datos del denunciante relativos a una deuda no cierta durante cuatro años de los cuales diecisiete meses con conocimiento del afectado y habiendo tenido conocimiento de la controversia de la deuda. 5. En los perjuicios causados al denunciante (apartado 4.h), y en relación con la importancia de la inclusión y mantenimiento de los datos personales en ficheros de morosidad, el tema ha sido tratado en numerosas sentencias por parte de la Audiencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 Nacional. Así, reiterar la doctrina que en la sentencia dictada el 16/02/2002 (recurso 1144/1999), por todas, se recoge: “... la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...”. Y hay que recordar además de que los datos del denunciante estuvieron indebidamente incluidos en el fichero ASNEF durante casi cuatro años, el denunciante tuvo que interponer varias reclamaciones ante la entidad TE y la Policía. 6. Por las medidas adoptadas (apartado 4.i), no se acredita que en los hechos concretos se hubieran tomado ninguna medida, que de haberse producido, habría evitado los hechos como el denunciado. Por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, en particular, el carácter continuado de las infracciones (apartado 4.a), la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal (apartado 4.c), el volumen de negocio de la misma, al tratarse de una gran empresa (apartado 4.d), el grado de intencionalidad (apartado 4.
  27. f)el perjuicio causado (apartado 4.
  28. h)y falta de medidas adoptadas que eviten en el futuro repetición de los hechos denunciados (45.4.
  29. i)así como lo establecido en el apartado 5.d), procede imponer una multa de 40.000 € por cada una de las infracciones cometidas. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA DE ESPAÑA, S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  30. b)de la LOPD, una multa de 40.000 €, de conformidad con lo establecido en el artículo 45.1), 2), 4) y 5) de la citada LOPD. SEGUNDO: IMPONER a la entidad TELEFÓNICA DE ESPAÑA, S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  31. c)de la LOPD, una multa de 40.000 €, de conformidad con lo establecido en el artículo 45.1), 2), 4) y 5) de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a TELEFÓNICA DE ESPAÑA, S.A.U., y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.