PS-00064-2014

1/13 Procedimiento Nº PS/00064/2014 RESOLUCIÓN: R/01063/2014 En el procedimiento sancionador PS/00064/2014, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A., vista la denuncia presentada por Don A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: D. A.A.A. (en lo sucesivo el denunciante) frente a la Entidad --VODAFONE ESPAÑA, S.A--. (en lo sucesivo el/la denunciado/

1. a)en el que denuncia de manera sucinta lo siguiente: “Que la Empresa Vodafone ha vendido dos líneas de móviles y una fija a una persona que posee mi DNI. Este hecho está causándome reclamaciones de facturas impagadas sobre servicios que no me corresponden”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad/es EQUIFAX IBERICA, S.L., EXPERIAN BUREAU DE CREDITO, S.A., VODAFONE ESPAÑA, S.A., teniendo conocimiento de que: En relación con la inclusión de datos en el fichero de morosidad Con fecha 9 de mayo de 2013, se solicita a EQUIFAX IBERICA, SL información relativa a A.A.A. con DNI ***DNI.1 y de la respuesta recibida, en fecha de registro de entrada en esta Agencia 29 de mayo de 2013, se desprende: - Respecto del fichero ASNEF Con fecha 28 de mayo de 2013, fecha en que se realiza la consulta en el fichero ASNEF, no figura ninguna incidencia asociada al identificador ***DNI.1, informada por VODAFONE. - Respecto del fichero de NOTIFICACIONES No consta ninguna notificación de inclusión cuya entidad informante sea VODAFONE. - Respecto del fichero de BAJAS No consta ninguna anotación de baja cuya entidad informante sea VODAFONE - Respecto de los derechos ARCO En el Servicio de Atención al Cliente de la entidad no constan expedientes asociados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 a los derechos del denunciante. En relación con la inclusión de datos en el fichero de morosidad BADEXCUG Con fecha 9 de mayo de 2013, se solicita a EXPERIAN BUREAU DE CREDITO, S.A. (en adelante EXPERIAN) información relativa a A.A.A. con DNI ***DNI.1 y de la respuesta recibida, en fecha de registro de entrada en esta Agencia 19 de junio de 2013 se verifica que no se encuentra ninguna operación asociada al NIF del denunciante. Respecto de la entidad informante VODAFONE ESPAÑA, S.A. Con fecha 27 de mayo de 2013 se solicita a VODAFONE información relativa al cliente A.A.A. con DNI ***DNI.1 y de la respuesta recibida en fecha 10 de junio de 2013 se desprende lo siguiente: 1. En los Sistemas de Información de VODAFONE constan los datos del denunciante como titular de las líneas ***TEL.1, línea vinculada al número ***TEL.2, con el servicio Vodafone ADSL, con fecha de alta 1 de junio de 2012 y en baja con fecha 24 de noviembre de 2012 por impago. Y la línea ***TEL.3 con fecha de alta 9 de mayo de 2012 y de baja con fecha 8 de marzo de 2013 por portabilidad. Como domicilio figura “(C/..............1) (Sevilla)”. Este domicilio coincide con el aportado por el denunciante a esta Agencia. La contratación fue realizada por el distribuidor LUALBO SL, con quién el operador tiene suscrito un contrato de “Agencia Exclusiva Punto de Venta”. VODAFONE ha aportado copia de los contratos suscritos respecto de las líneas ***TEL.1, vinculada al ***TEL.2 y ***TEL.3. La Entidad VODAFONE no aporta copia del DNI del titular de los datos junto con los contratos suscritos. 2. Respecto de las facturas impagadas VODAFONE ha aportado impresión de pantalla del proceso de gestión de facturación donde figura un impago por importe de 506,36 €. 3. En el Sistema donde se registran los contactos y reclamaciones con los clientes figuran:  Con fecha 3 de julio de 2012, consta un contacto con el cliente en relación con una incidencia técnica sobre la línea ***TEL.1.  Con fecha 23 y 26 de julio de 2012, consta un contacto con el cliente en relación con la misma incidencia técnica sobre la línea ***TEL.1 y una anotación indicando que dicha línea no ha sido portada y por tanto no pertenece a VODAFONE sino a Orange.  Con fecha 2 de octubre de 2012, consta un contacto con el cliente en relación con una reclamación ya que el cliente manifiesta no conocer las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 líneas ***TEL.1, ***TEL.2 y ***TEL.3 y una indicación de “No fraude”.  Con fecha 24 y 26 de noviembre de 2012 consta registrada una anotación respecto de la portabilidad de la línea ***TEL.2.  Con fecha 28 de febrero y 7 de marzo de 2013 figura registrado una interacción del cliente indicando fraude en la contratación y una anotación al respecto indicando que se tipifica como no fraude. 4. VODAFONE manifiesta que los datos del denunciante nunca han estado incluidos en ficheros de morosidad. TERCERO: Con fecha 7 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la Entidad --VODAFONE ESPAÑA, S.A--., por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (*en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3
2. b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.0001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad--VODAFONE ESPAÑA, S.A--. mediante escrito de fecha 28/02/14 formuló alegaciones, significando de manera sucinta lo siguiente: Con relación a los hechos que el Sr. A.A.A. consta en los sistemas de Vodafone como titular de dos servicios. El alta del servicio se gestionó a través del canal distribución el 1 de junio de 2012 dándose de baja el 24 de noviembre de 2012. Además del anterior también tiene otro servicio móvil asociado—***TEL.4—también gestionado a través del canal de distribución, con fecha de alta el 09/05/12 y fecha de baja el 08/03/13. Sólo se pagaron alguna/s de las facturas por lo que generó una deuda, la cual aunque si se reclamó, nunca supuso que sus datos personales estuvieran incluidos en ficheros de solvencia patrimonial. Vodafone aportó todos los contratos relativos a los dos servicios, demostrando así la contratación del servicio y el consentimiento por parte del titular. No fue hasta el 2 de octubre del año 2012, más de cinco meses desde el alta, diciendo no reconocer los servicios asociados a su titularidad. Con relación a los fundamentos de Derecho. Es claro y manifiesto que Vodafone cuenta con el consentimiento del afectado, como lo demuestra el hecho de que Vodafone aportó en el escrito de respuesta de solicitud de información E/2343/2013 copia de los contratos relativos a los servicios asociados su titularidad. Contratos debidamente firmados y en los que todos los datos eran correctos y coincidentes, como lo demuestra el hecho de que tanto el DNI como el domicilio se corresponden con los datos personales del denunciante y, por tanto, son exactos y puestos al día. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 Por todo ello se solicita que se tenga por presentado este escrito con las manifestaciones en él contenidas, se sirva admitirlo y, previos los trámites legales oportunos, se proceda a decretar el Archivo de las actuaciones por falta de infracción alguna imputable a mi representada. Subsidiariamente, en el caso improbable de que se estime algún tipo de infracción por parte de mi representada se establezca la cuantía de la sanción aplicando la escala relativa a las infracciones leves, de conformidad con lo establecido en el art. 45.5 LOPD y graduando la misma de conformidad con lo dispuesto en el art. 45.4 LOPD. QUINTO: Con fecha 26/03/14 se inició el período de práctica de pruebas, en el que se acordó incorporar la denuncia presentada y la documentación anexa, así como, el conjunto de alegaciones y la documentación en respaldo de sus pretensiones esgrimida por la entidad denunciad-Vodafone--. SEXTO: En fecha 28/03/14 se procedió a notificar “propuesta” de Resolución en la que se propuso una sanción en cuantía de 50.000€ por la infracción del art. 6.1 LOPD, tipificada como infracción grave en el art. 44.3
3. b)de la LOPD. Consta acreditada en el expediente administrativo la recepción del acto administrativo por parte de la entidad denunciada—Vodafone—en fecha 02/04/14 según acuse de recibo emitido por el Servicio Oficial de Correos. SÉPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. En fecha 12/02/13 se recibe en esta AEPD reclamación del afectado en dónde pone de manifiesto lo siguiente: “Que la Empresa Vodafone ha vendido dos líneas de móviles y una fija a una persona que posee mi DNI. Este hecho está causándome reclamaciones de facturas impagadas sobre servicios que no me corresponden”.—folio nº 1--. En apoyo de su pretensión aporta copia de la denuncia de fecha 25/09/12 ante las Fuerzas y Cuerpos de seguridad del estado en dónde pone de manifiesto que los “números de teléfono ***TEL.3, ***TEL.1 y ***TEL.2, los cuales no están contratados por el denunciante”--. Segundo. En los sistemas de información de la Entidad—Vodafone—consta la siguiente información con relación al Sr. A.A.A.. -Línea ***TEL.1 con fecha de alta el 1 de junio de 2012 y baja el 24 de noviembre de 2012. -Línea ***TEL.3 con fecha de alta el 9 de mayo de 2012 y fecha de baja el 8 de marzo de 2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 Tercero. En cuanto a la contratación, la entidad denunciada—Vodafone—aporta copia de los contratos entre las partes, con relación a los servicios objeto de controversia ***TEL.1, ***TEL.3 y ***TEL.2 si bien no adjunta copia del DNI o documento de naturaleza similar junto a los mismos. Cuarto. Queda acreditado que la Entidad-Vodafone—ha procedido a tratar los datos personales del afectado mediante la emisión de facturas “generando una deuda pendiente de pago por importe de 506,36€”—folio nº 65--. Quinto. La Entidad denunciada—Vodafone—alega que “la contratación del servicio se realizó a través del canal de distribución”. En concreto las líneas fueron contratadas a través del distribuidor Lualbo S.L con CIF *********. Sexto. En la documentación contractual aportada por la Entidad Vodafone que plasma las cláusulas contractuales con el “distribuidor” se plasma: “el AGENTE deberá conservar su ejemplar de los contratos suscritos por los clientes, así como, copia de la documentación acreditativa de la identidad de los clientes”—folio nº 96--. “En el caso de que el AGENTE no aporte estos documentos en el plazo indicado Vodafone podrá imponer al mismo una penalización de cuatrocientos (400€) por cada documento solicitado y no aportado”—folio nº 96--. Séptimo. En la documentación aportada por el afectado ante esta AEPD consta como dirección del mismo (C/..............1) Sevilla, que coincide con la plasmada en su DNI en vigor a día de la fecha; mientras que la que consta en los documentos contractuales presentados por la Entidad denunciada—Vodafone—es (C/..............2) Sevilla--, dirección a dónde se envían las facturas y que no está vinculada con el denunciante. Octavo. En los sistemas de información de la Entidad denunciada-Vodafone— consta—folio nº 71 -- reclamación del afectado de fecha 02/10/12 en dónde se plasma: “Cliente manda reclamación dónde indica que no reconoce las líneas ***TEL.1 fijo asociada al ***TEL.2… indicando que no reconoce las líneas (…)”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
4. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III En el presente caso, se procede a analizar la reclamación de fecha 12/02/13 en dónde el epigrafiado pone de manifiesto lo siguiente: “Que la Empresa Vodafone ha vendido dos líneas de móviles y una fija a una persona que posee mi DNI. Este hecho está causándome reclamaciones de facturas impagadas sobre servicios que no me corresponden”.—folio nº 1--. A requerimiento de esta AEPD, la Entidad denunciada en fecha 28/02/14 alega como mejor procede en Derecho lo siguiente en relación con los “hechos” que son objeto de denuncia. “Vodafone cuenta con el consentimiento del denunciante, como lo demuestra el hecho de que esta Entidad aportó en el escrito de respuesta a la solicitud de Información E/02343/2013 copia de los contratos relativos a los servicios asociados a su titularidad”. En fase de instrucción ex art. 78 Ley 30/92—se procede a examinar los contratos presentados—folios nº 77 a 81, en dónde no se aporta copia del DNI del afectado o documento de naturaleza similar que acredite fehacientemente el consentimiento expreso del afectado. A mayor abundamiento las firmas que aparecen plasmadas en los documentos presentados no presentan características similares, esto es: son distintas en trazado y forma de una mera comparación ocular de las mismas. El artículo 6.1 de la LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. Es decir, el denunciante niega haber prestado el consentimiento para el tratamiento de sus datos personales en relación con la citada línea/s de telefonía, y en estas circunstancias, como reiteradamente viene señalando la Sala corresponde a la entidad recurrente, acreditar que ha obtenido el consentimiento del denunciante que ampare el tratamiento de sus datos, lo que hemos visto, no ha efectuado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 Todo lo cual pone de relieve una falta de diligencia en la actuación de la entidadVodafone--, que impide que pueda hablarse de ausencia de culpabilidad, al ser la conducta típica imputable a título de culpa. Como señaló la STS de 18 marzo 2005 (Rec. 7707/2000) es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa", por lo que al ser la conducta típica imputable a título de culpa no se vulnera el citado principio de culpabilidad. En cuanto al modo de efectuarse la contratación, Vodafone señala en su escrito de alegaciones “que se realizó a través del canal de distribución” estando plasmado en las cláusulas contractuales que se deberá “conservar copia de la documentación acreditativa de la identidad de los clientes”; sin embargo, la misma no es aportada como medio de prueba admisible en Derecho a esta Agencia. Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, y a ello obedece la exigencia de documentación identificativa que la propia operadora plasma en el contrato suscrito con la distribuidora. Sin embargo, no se ha aportado copia del DNI, pasaporte o de cualquier otra documentación identificativa que se recoge en dicho contrato y que debía ser remitida a la Entidad—Vodafone--para verificar la identidad del contratante, no resultando en suma acreditado que contase con el consentimiento del denunciante para el tratamiento de sus datos. A mayor abundamiento, la dirección del afectado aportada ante esta AEPD y que coincide con la plasmada en su DNI—en vigor a día de la fecha—es (C/..............1) Sevilla --; mientras que en los contratos aportados por la Entidad denunciada el domicilio que está plasmado en el mismo es (C/..............2) Sevilla —por lo que la dirección contractual no coincide con la dirección real del afectado. Por tanto, la Entidad recurrente no sólo no aporta copia del DNI o documento de naturaleza similar, sino que no ha desplegado actividad alguna tendente a constatar que el afectado era quién realmente otorgaba su consentimiento en el alta/s de los servicios. Así la SAN 10/06/2011 en dónde se establece “Endesa no ha aportado copia del DNI, pasaporte u otro documento de identidad que permita comprobar que la persona titular de los datos del contrato efectivamente era la citada persona y que la misma consintió tal contratación, la recurrente no realizó actuación alguna para confirmar el consentimiento del titular de los datos. Es más, la firma de contrato se corresponde con el inquilino de la vivienda”. Por tanto resulta acreditada la vulneración del art. 44.3
5. b)LOPD al haber tratado los datos del denunciante con vulneración del principio del consentimiento regulado en el art. 6.1 LOPD. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD". V El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “…no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. En el presente caso, de la documentación aportada por la Entidad denunciada— Vodafone-- como medio de prueba admisible en derecho, no se infiere de forma indubitada la prestación del consentimiento al servicio facturado. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar las operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de dato (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Consta como reclamación del afectado poniendo de manifiesto la “irregularidad” en la contratación el contacto de fecha 02/10/12—folio nº 71—“indica que no reconoce las líneas”; a pesar de ello se sigue emitiendo la factura relativa al periodo 15/11/12 al 14/12/12—diciembre del año 2012--. A la hora de motivar la sanción a imponer a la Entidad-Vodafone—se tienen en cuenta los criterios establecidos en el art. 45.4 LOPD. En concreto se procede a tener en cuenta los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.—45. 4
16. c)LOPD--.  El volumen de negocios o actividad del infractor. 45.4
17. d)LOPD. A modo ilustrativo Vodafone es una compañía que obtuvo en el año 2013 un beneficio neto de unos aproximadamente 206 millones de euros.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas—art. 45.4
18. h)LOPD. Por todo ello se acuerda imponer una sanción que se cifra en la cuantía de 50.000€ cincuenta mil euros-- por la infracción del contenido esencial del art. 6.1 LOPD anteriormente citado. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad --VODAFONE ESPAÑA, S.A.--, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
19. b)de dicha norma, una multa de 50.000€ (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la Entidad VODAFONE ESPAÑA, S.A. y a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es