← España

PS-00090-2018

1/23 Procedimiento Nº PS/00090/2018 RESOLUCIÓN: R/01565/2018 En el procedimiento sancionador PS/00090/2018, instruido por la Agencia Española de Protección de Datos a la entidad XFERA MÓVILES, S.A., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 29/11/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que manifiesta que la empresa GEMINI RECOVERIES & COLLECTIONS, S.L., (en adelante, GEMINI), en nombre de la entidad MÁS MÓVIL TELECOM, 3.0, S.A.U., después de que la Secretaría de Estado para la Sociedad de la Información y la Agenda Digital (SESIAD, antes SETSI) hubiera resuelto que la deuda que le reclamaba era inexistente, continuó reclamándole el pago de la supuesta deuda. Con fecha 14/12/2017 se inscribió en el Registro Mercantil (fecha de publicación en el BORME el 21/12/2017) la fusión por absorción acordada entre XFERA MÓVILES, S.A., y MÁS MÓVIL TELECOM, 3.0, S.A.U., (en lo sucesivo, MÁS MÓVIL), siendo la entidad absorbente XFERA MÓVILES, S.A., (en lo sucesivo, XFERA MÓVILES o la denunciada), razón por la cual el procedimiento sancionador se abre a la sociedad absorbente. Se adjunta a la denuncia una copia de los siguientes documentos: - Cinco correos electrónicos recibidos por el denunciante desde masmovil@geminicollections.com, en fechas 13/07/2017, 17/07/2017, 24/07/2017, 28/08/2017, 23/10/2017 y 27/11/2017 en los que le requieren el pago de una deuda. Este último requerimiento es posterior a la fecha en la que se dictó resolución por la SESIAD (SETSI) Todos ellos van dirigidos al denunciante, a la dirección electrónica ***EMAIL.1 y, en nombre de MÁS MÓVIL, como paso previo al envío del expediente a su Asesoría Jurídica, le requieren el pago de una deuda pendiente por importe de 49,66 euros. - Cuatro correos electrónicos enviados por el denunciante a la dirección masmovil@geminicollections.com: En fechas 13/07/2017 y 24/07/2017, en los que expone que hay un error de MAS MÓVIL, pues no tiene ninguna deuda pendiente con esa entidad. De fecha 28/08/2017, en el que el denunciante, además de reiterar que no adeuda nada, informa a la gestora de cobros que ha presentado reclamación ante la SESIAD. De fecha 23/10/2017, en el que el denunciante le informa de que la SESIAD ha dictado resolución declarando que la deuda que le reclaman es inexistente. - Resolución de fecha 23/10/2017, de la Secretaría de Estado para la Sociedad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23 de la Información y la Agenda Digital, recaída en el procedimiento RC1011752/17 seguido frente al operador MÁS MÓVIL TELECOM 3.0, S.L., en virtud de la reclamación presentada por el actual denunciante, motivada por el requerimiento de una supuesta deuda asociada al número de teléfono ***TELEFONO.1, por un importe de 49,66 euros. La resolución acuerda “Estimar la reclamación, declarando esta Secretaría de Estado la inexistencia de la deuda reclamada”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a GEMINI RECOVERIES & COLLECTIONS, S.L., (GEMINI) De su respuesta, que tiene entrada en el Registro de la AEPD el 12/02/2018, se evidencian los siguientes extremos: 1. Que el 02/01/2016 suscribió con XFERA MÓVILES una “carta de encargo” cuyo objeto era la gestión del cobro por parte de GEMINI de las cuentas o expedientes asignados. Aporta una copia del “Contrato de prestación de servicios entre XFERA MÓVILES, S.A. & GEMINI RECOVERIES & COLLECTIONS, S.L.”. La estipulación duodécima configura a GEMINI como encargado de tratamiento de XFERA MÓVILES. 2. Que XFERA MÓVILES le asignó los expedientes con referencia ***EXPEDIENTE.1 y ***EXPEDIENTE.2, asociados al denunciante, el 07/07/2017, para la gestión de recobro de dos deudas por sendos importes de 8 euros y 41,66 euros (un total de 49, 66 euros). Declara que para llevar a cabo la gestión XFERA MÓVILES le facilitó un número de teléfono y una dirección electrónica del deudor. 3. Que en fecha 28/12/2017 XFERA MÓVILES le comunicó el cese en la gestión de los expedientes asociados al denunciante, procediendo GEMINI al bloqueo de los datos personales conforme establece el artículo 16.3 LOPD. 4. Que la única actividad realizada por GEMINI, con base en todo caso en el contrato celebrado en su día con XFERA MÓVILES, es la destinada a la gestión del cobro de deudas. Que en relación con el denunciante realizó un recobro telefónico, consistente en llamadas al número de teléfono facilitado por XFERA MÓVILES, y envió SMS y correos electrónicos en los que le recordaba el deber de atender el pago de la deuda pendiente. TERCERO: Con fecha 14/03/2018, la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador a XFERA MÓVILES, S.A., por una presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros de acuerdo con el artículo 44.3.
  2. c)de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, XFERA MÓVILES, mediante escrito de fecha 10/04/2018, formula alegaciones en las que solicita el sobreseimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23 expediente con archivo de las actuaciones practicadas; subsidiariamente, la imposición de la sanción correspondiente a las infracciones leves en su grado mínimo y, con carácter subsidiario respecto a las anteriores pretensiones, la imposición de la sanción prevista para las infracciones leves en su grado medio. Invoca en apoyo de sus respectivas pretensiones los siguientes argumentos: 1. Afirma que ha mantenido en todo momento los datos del denunciante “exactos y puestos al día”, respetando el artículo 4.3 LOPD y 8.5 del RLOPD, de modo que la imputación de una infracción del artículo 4.3 LOPD constituye una vulneración por parte de la AEPD del principio de tipicidad (ex artículo 27 de la Ley 40/2015) Manifiesta que la resolución dictada por la SESIAD en el expediente ***EXPEDIENTE.3, no se le notificó hasta el 17/11/2017. Añade que la AEPD le reprocha que “no hubiese comunicado a GEMINI el cese de las acciones de recobro hasta el 28/12/2017 pese a que SESIAD dictó resolución declarando la inexistencia de la deuda el 23/10/2017, sin tener en cuenta ni percatarse de si dicha resolución le fue efectivamente notificada a YOIGO en dicha fecha “. Que en tanto la resolución recaída en el expediente ***EXPEDIENTE.3 no le fue notificada por la SESIAD hasta el 17/11/20017, no ha podido observar y cumplir lo que en ella se acuerda en el plazo requerido por la AEPD. Anexa un pantallazo de la sede electrónica del Ministerio de Energía, Turismo y Agenda Digital, Consulta al registro electrónico, del que resulta acreditado, que la resolución de la SESIAD ***EXPEDIENTE.3 tiene fecha de salida el 09/11/2017 y la fecha de lectura es el 17/11/2017. Manifiesta también que la resolución dictada por la SESIAD el 23/10/2017, que declaró la inexistencia de la deuda reclamada por XFERA MÓVILES al denunciante, no era firme en esa fecha, por lo que el pronunciamiento contenido en ella podría verse anulado. Invoca al respecto el artículo 9.3 de la Orden ITC/1030/2007, que regula el procedimiento de resolución de las reclamaciones por controversias entre usuarios finales y operadores de servicios de comunicaciones electrónicas y la atención al cliente por los operadores. La resolución dictada por la SESIAD agota la vía administrativa y cabe contra ella bien recurso potestativo d reposición ( en el plazo de un mes) bien recurso en vía contenciosa ( dos meses) Concluye de lo expuesto que hasta el 17/01/2018 podría interponerse recurso contencioso administrativo y solicitar la suspensión de la ejecución y que, a tenor de los argumentos invocados, “la comunicación de YOIGO a GEMINI para el cese de las acciones de recobro realizada el 28/12/2017 en modo alguno se hizo de forma extemporánea y sí dentro del plazo legalmente establecido para ello”. 2. Para el caso de que su pretensión de archivo no sea estimada, XFERA alega que la sanción a imponer debería fijarse tomando en consideración estos argumentos: a. Discrepa de los criterios de graduación de la sanción previstos en el artículo 45.4 LOPD que la AEPD ha tomado en consideración en el acuerdo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 b. c. d. e. f. inicio del expediente pues, afirma, únicamente ha valorado las agravantes y no las circunstancias que atenúan su responsabilidad. Rechaza apreciar como “agravante” la circunstancia del artículo 45.4
  3. a)LOPD, el carácter continuado de la infracción, pues el periodo transcurrido entre la fecha en la que la SESIAD dictó resolución declarando la inexistencia de la deuda (23/10/2017) y el cese de las acciones de recobro (el 28/12/2017), si tomamos en cuenta para ello el plazo de diez días del artículo 8.5 RLOPD, es inferior a los dos meses. Discrepa de la aplicación como agravante de la descrita en el apartado
  4. c)del artículo 45.4: “La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”. Rechaza la aplicación como agravante de la recogida en el apartado
  5. d)el volumen de negocio o actividad del infractor, pues dice que no se explica ni motiva semejante afirmación Estima que debería apreciarse como atenuante el apartado
  6. e)pues el beneficio obtenido por la entidad es nulo; el apartado h), pues los perjuicios causados son nulos y no están acreditados También considera improcedente que se estime la agravante del apartado
  7. f)pues no ha existido intencionalidad y la entidad tiene procedimiento efectivos y suficientes para el tratamiento de los datos que realiza. QUINTO: Con fecha 11/04/2018, conforme a lo dispuesto en el artículo 77 de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) se abre un período de prueba en el que se acuerda la práctica de las siguientes diligencias: - - Incorporar al expediente la denuncia presentada por D. A.A.A. y su documentación; los documentos obtenidos por la Inspección de Datos en el curso de las actuaciones de investigación previa y el Informe de Actuaciones de Investigación Previa. Incorporar al expediente a efectos de prueba las alegaciones formuladas por XFERA MÓVILES, S.A., al acuerdo de inicio del expediente PS/00090/2018 y los documentos anexos. Solicitar a la Secretaría de Estado para la Sociedad de la Información y la Agenda Digital documentación acreditativa de la fecha en la que se notificó a XFERA MÓVILES, S.A., la resolución dictada en el procedimiento ***EXPEDIENTE.3.  La SESIAD respondió a las pruebas solicitadas en escrito de fecha de entrada en la AEPD el 17/04/2018. En su respuesta manifiesta que la resolución dictada en el procedimiento de reclamación promovido por D. A.A.A. había sido notificado a MÁS MÓVIL TELECOM, S.L., el 09/11/2017, por medios electrónicos.  Sin embargo, la documentación aportada para acreditar esos extremos no coincide con lo manifestado en su escrito de respuesta. Se aporta el documento de registro electrónico en el que figura como fecha de puesta a disposición el 09/11/2017 pero respecto a la aceptación electrónica del operador consta, por una parte, que la persona que actúa en nombre del operador es D.ª M.G.A. con NIF C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 ***NIF.2 y, por otra, en el lateral del documento se recoge la siguiente leyenda: “Aceptación firmada por G... A…, M…, con fecha 17/11/2017 15:12:21, con certificado emitido por AC FNMT Usuarios,…” SEXTO: Con fecha 21/08/2018 se formuló propuesta de resolución en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a XFERA MÓVILES, S.A. con NIF A82528548, con multa de 50.000 euros (cincuenta mil euros) por infracción del artículo 4.3 de la LOPD, en relación con el artículo 8.5 del RLOPD, tipificada como infracción grave en el artículo 44.3.
  8. c)de dicha norma.>> La propuesta de resolución se notificó electrónicamente a la denunciada siendo el 21/08/2018 la “fecha de puesta a disposición” y el 22/08/2018 la “fecha de aceptación” de la notificación por parte de XFERA MÓVILES. El artículo 73 de la LPACAP fija un plazo de diez días a partir del siguiente al de la notificación del correspondiente acto para los trámites que deban ser cumplimentados por los interesados. Habida cuenta de que la propuesta de resolución del expediente PS/90/2018 fue notificada a XFERA MÓVILES el 22/08/2018, el plazo de diez días hábiles finalizaba el día 05/09/2018. Ese mismo día, 05/09/2018, la denunciada solicitó una ampliación del plazo para formular alegaciones a la propuesta por el máximo permitido legalmente (5 días). La instructora del expediente denegó la ampliación del plazo solicitada mediante escrito de la misma fecha. SÉPTIMO: En fecha 07/09/2018 tienen entrada en la sede electrónica de la AEPD las alegaciones de XFERA MÓVILES a la propuesta de resolución. Solicita el sobreseimiento del expediente sancionador y archivo de las actuaciones; con carácter subsidiario la imposición de una sanción por infracción leve en su grado mínimo y, subsidiariamente, para el caso de que no prosperen las anteriores pretensiones, la imposición de una sanción leve en su grado medio. La denunciada aduce como fundamento de las pretensiones que formula los argumentos siguientes: 1. Expresa su oposición a los razonamientos que se hacen en la propuesta de resolución. 2. Reitera las alegaciones formuladas al acuerdo de inicio del expediente sancionador, “dándolas por reproducidas en su integridad”. 3. Para el caso de que su pretensión principal, el archivo del expediente, no fuera atendida, en aplicación del principio de proporcionalidad (ex artículo 29 de la Ley 40/2015) hace sobre la procedencia de aplicar las circunstancias descritas en los artículos 45.5 y 45.4 LOPD que se detallan las siguientes consideraciones: 3.1. Sobre la aplicación del artículo 45.5.e de la LOPD: XFERA MÓVILES expresa su “total disconformidad” con el cambio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 criterio que hace la propuesta de resolución en relación con el acuerdo de inicio del expediente sancionador. Este último, a efectos de graduar el importe de la sanción por infracción del artículo 4.3 LOPD, apreció la atenuante cualificada del artículo 45.5.
  9. e)que, sin embargo, la propuesta de resolución no admite por estimar que no están presentes los elementos objetivos que definen esa circunstancia modificativa de la responsabilidad. A juicio de la denunciada el nuevo criterio que acoge la propuesta de resolución no se adecúa a la previsión del artículo 45.5.
  10. e)LOPD. XFERA MÓVILES comienza su alegato a favor la aplicación de esta atenuante cualificada reproduciendo la disposición invocada: “Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Continúa citando el texto del artículo 8.5 del RLOPD que otorga un plazo de diez días “desde que se tuviese conocimiento de la inexactitud” para cancelar el dato inexacto. La entidad transcribe también los incisos tercero y cuarto del artículo 8.5 del RLOPD que dicen así: “Cuando los datos hubieran sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviera el tratamiento de los datos, deberá proceder a la rectificación y cancelación de la notificación”. Apoyándose, por una parte, en las disposiciones citadas y, por otra, otra, tomando en consideración la fecha de publicación en el Boletín Oficial del Registro Mercantil (BORME) de la fusión por absorción de Más Móvil por XFERA -el 21/12/2017- concluye: “Por tanto, fue el 21/12/2017 cuando XFERA tuvo efectivo conocimiento de que los datos del denunciante sometidos a tratamiento por parte de la sociedad absorbida resultaban inexactos, y por tanto, fue en esa fecha cuando, en aplicación de lo dispuesto por el citado artículo 8.5 RLOPD, debió comenzar a computarse, en esta ocasión a favor de XFERA, el plazo de diez días para proceder a su rectificación”. (El subrayado es de la AEPD) 3.2. Sobre la aplicación del artículo 45.4 LOPD: Expresa su rechazo y oposición con los criterios de graduación del artículo 45.4 que ha aplicado la propuesta de resolución que califica de “gravemente errónea y equivocada”. La denunciada pasa a mencionar las siguientes circunstancias que a su juicio no pueden operar como agravantes o bien habrían de valorarse como atenuantes: 3.2.1 El carácter continuado de la infracción (artículo 45.4.a,). Rechaza su aplicación como agravante ya que “un plazo tan breve de tiempo no puede tener naturaleza de continuidad tal y como la propuesta de resolución pretende” -se refiere al transcurrido entre el 17/11/2017 y el 28/12/2017- teniendo en cuenta además el plazo de diez días para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 cancelar previsto en el artículo 8.5 RLOPD. 3.2.2. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (45.4.c). Rechaza su aplicación y considera que se ha de equiparar a la “falta de diligencia que le es debida”. 3.2.3. El volumen de negocio o actividad del infractor (45.4.
  11. d)Afirma que la AEPD no ha motivado ni explicado su aplicación. 3.2.4. Los beneficios obtenidos como consecuencia de la comisión de la infracción (45.4.e). Dice que el beneficio obtenido es nulo pues no ha sacado provecho de mantener inexactos los datos del denunciante. 3.2.5. El grado de intencionalidad (45.4.
  12. g)Expone al respecto que la “intencionalidad es nula”, que tiene implantados procedimientos suficientes y efectivos para llevar a cabo el tratamiento de los datos de sus clientes diligentemente siendo ejemplo de ello “el bajísimo número de incidencias de esta naturaleza” y teniendo en cuenta el número millonario de clientes de los que dispone. 3.2.6. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. Afirma que los perjuicios causados son nulos y no se han acreditado. 3.2.7. La acreditación de que con anterioridad a los hechos constitutivos de la infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. XFERA MÓVILES entiende que tal circunstancia concurre en el supuesto que nos ocupa y que queda acreditad por el “bajísimo número de incidencias de esta naturaleza que ha de gestionar en comparación con otros operadores”. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A., con NIF ***NIF.1, denuncia que el operador telefónico MÁS MÓVIL (en la actualidad XFERA MÓVILES), a través de la empresa gestora de cobros GEMINI, le ha requerido el pago de una deuda tiempo después de que la Secretaría de Estado para la Sociedad de la Información y la Agenda Digital (SESIAD) se pronunciara en el expediente tramitado a su instancia en ese organismo -***EXPEDIENTE.3- declarando que la citada deuda era inexistente. (Folio 1) SEGUNDO: La resolución del procedimiento seguido ante la SESIAD, ***EXPEDIENTE.3, se firmó en fecha 23/10/2017 y acordó “Estimar la reclamación, declarando esta Secretaría de Estado la inexistencia de la deuda reclamada”. Como Fundamento de la resolución la SESIAD manifestó que “…MÁS MÓVIL TELECOM 3.0., S.L., pese a haber tenido oportunidad de ello durante el trámite de audiencia, no ha facilitado información alguna sobre las circunstancias de la deuda cuyo pago le es requerido ahora al reclamante ni ha presentado acreditación alguna que permita determinar los conceptos que se pretenden cobrar al usuario. Por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 consiguiente, procede estimar la reclamación, declarando la inexistencia de la deuda reclamada”. (Folio 11) TERCERO: Respecto a la notificación de la resolución dictada en el expediente ***EXPEDIENTE.3, la documentación facilitada por la SESIAD acredita que en fecha 09/11/2017 esa Secretaría de Estado puso a disposición de la operadora reclamada la resolución dictada. Respecto a la fecha de “aceptación electrónica de la notificación” de la resolución, consta en el documento, por una parte, que en nombre del operador actúa D.ª M.G.A. con NIF ***NIF.2 y, por otra, en el lateral del documento se incluye esta leyenda: <<Aceptación firmada por (…) [M.G.A.] con fecha 17/11/2017 15:12:21, con certificado emitido por AC FNMT Usuarios,..>> Folio 99. (El subrayado es de la AEPD) CUARTO: Obra en el expediente -aportado por el denunciante- un email recibido en su dirección electrónica (***EMAIL.1) desde masmovil@geminicollections.com, de fecha 27/11/2017 a las 12:39:15 horas. Como “Asunto” figura “Masmovil”. En el correo aparece el anagrama de GEMINI y este texto: <<Distinguido Sr./Sra. A.A.A. tiene un importe pendiente de 49,66 EUR. Como paso previo al envío de su expediente a nuestra Asesoría Jurídica, le instamos a la regularización inmediata de la deuda que mantiene con nuestro cliente MASMOVIL cuyo importe asciende a: 49,66 EUR (…)>> (Folio 13) QUINTO: GEMINI y XFERA MÓVILES suscribieron el 02/01/2016 un contrato de prestación de servicios cuyo objeto (Cláusula primera) era la gestión de la deuda, para lo cual se le ofrecía un abanico de soluciones entre las que pueden citarse la “gestión de cobros”, la “gestión de deuda temprana” o la “gestión de deuda morosa”. Se aporta copia del contrato y del Anexo I que lleva el título de “Propuesta de servicio de recobro YOIGO”. (Folios 22 a 47) SEXTO: GEMINI ha manifestado que en fecha 07/07/2017 recibió de XFERA MÓVILES para que gestionar su recobro los expedientes con referencia ***EXPEDIENTE.1 y ***EXPEDIENTE.2, por los importes, respectivamente, de 8 euros y 41,66 euros, de los que el denunciante era deudor, facilitándole XFERA MÓVILES su teléfono de contacto y su dirección electrónica. Afirma que realizó un “recobro telefónico consistente en llamadas a números de teléfono facilitados por XFERA MÓVILES, así como envío de SMS recordatorios de la necesidad de pago y correos electrónicos con idéntico fin. Se aporta como Documento nº2 el detalle de las gestiones realizadas por GEMINI” (Folio 20) SÉPTIMO: El documento número 2 aportado por GEMINI (folio 64) es una imagen con el resultado de la “Consulta de expedientes”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23  Bajo la rúbrica “Consulta de Telecobro” en la casilla “Cliente” figura “MasMovil”; como “Tipo búsqueda” “DNI/NIF” y en la casilla “Buscar” el dato “***NIF.1”.  Bajo la rúbrica “Expedientes” los identificados con las referencias ***EXPEDIENTE.1 y ***EXPEDIENTE.2, correlativamente los importes de 8,00€ y 41,66€. Como “Fecha remesa” el “07/07/2017” y como “Fecha Baja” “28/12/2017”. (El subrayado es de la AEPD)  Bajo la rúbrica “Detalles” se ofrece información de las gestiones realizadas. En distintas columnas se facilita la “Fecha Gestión”, el “Expediente”; el “NIF”; el “Resultado”; el “Operador”; el “Contacto”; el “Teléfono” y el “texto”.  Las dos últimas gestiones efectuadas son de fecha 04/12/2017, están asociadas al expediente ***EXPEDIENTE.1 y al NIF ***NIF.1 (del que es titular el denunciante) con el resultado en ambos casos de “Enviado SMS” siendo el operador “GEMINI”. OCTAVO: El documento número 3 aportado por GEMINI (folio 66) es una imagen con el resultado de la “Consulta de expedientes”.  Bajo las rúbricas “Consulta de Telecobro” y “Expedientes” se ofrece la misma información que en el documento número 2.  Bajo la rúbrica “Detalles” consta la siguiente información asociada al expediente ***EXPEDIENTE.2: La “Fecha remesa” es el “07/07/2017”; la “Cesión telecobro” es el “08/07/2017”; el “Estado” es “Cancelado”; como “Inicio deuda” costa “31/01/2017”, y como “Baja en telecobro” el “28/12/2017” (El subrayado es de la AEPD) NOVENO: GEMINI hace la siguiente afirmación en su escrito de respuesta al requerimiento de la Inspección de Datos (folio 21); “Que, en fecha 28 de diciembre de 2017, XFERA MÓVILES informó del cese en la gestión de los dos expedientes asociados al reclamante. Se observa en el Documento nº2 que en el apartado “Estado registro” consta como “baja” ambos expedientes a fecha 28/12/2017. (…)” (El subrayado es de la AEPD) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  13. g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) dedica el Título II a los “Principios de protección de datos” y en su artículo 4, “Calidad de los datos” establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 4.Si los datos de carácter personal registrados resultaren ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. El principio de calidad de los datos se traduce en la exigencia de que los datos personales que se recojan en cualquier fichero sean exactos y reflejen, en todo momento, la situación actual de los afectados, correspondiendo a los responsables de los ficheros el cumplimiento de esta obligación. Las disposiciones transcritas deben integrase con las definiciones recogidas en los artículos 3.a), 3.e), 3.
  14. c)y 3.
  15. d)de la LOPD, referentes, respectivamente, a lo que debe entenderse por “datos de carácter personal”, “afectado o interesado”, “tratamiento de datos” y “responsable del fichero o tratamiento”: “cualquier información concerniente a personas físicas identificadas o identificables”; “persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  16. c)del presente artículo”; “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. El Reglamento de Desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) en su artículo 8.5 establece: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello. Cuando los datos hubieran sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviera el tratamiento de los datos deberá proceder a la rectificación y cancelación notificada. Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre. Lo dispuesto en este apartado se entiende sin perjuicio de las facultades que a los afectados reconoce el título III de este reglamento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 III En el expediente PS/00090/2018 que nos ocupa se atribuye a XFERA MÓVILES una infracción del principio de exactitud de los datos, manifestación del principio de calidad, concretada en haber atribuido al afectado una deuda inexistente tiempo después de haber tenido conocimiento, incluso conocimiento fehaciente, de la inexactitud del dato tratado. A. Ese extremo -la inexactitud del dato, o lo que es igual la inexistencia de la deuda que la operadora atribuía y reclamaba al denunciante- le fue notificado fehacientemente a XFERA MÓVILES por la SESIAD en fecha 17/11/2017. Sin embargo, no será hasta el 28/12/2017 (un mes y once días después de esa notificación) cuando XFERA MÓVILES comunique a su encargada de tratamiento (GEMINI) la baja del expediente de recobro del afectado; circunstancia que demuestra que la operadora denunciada, al menos hasta esa fecha, continuó tratando en sus ficheros un dato inexacto asociado al denunciante sin haber hecho la pertinente cancelación. XFERA MÓVILES mantuvo en sus ficheros, asociados a los datos personales del afectado (nombre, apellidos y NIF), un dato inexacto -una supuesta condición de deudor- un mes y once días después de que la Secretaría de Estado -ante la que el denunciante había acudido para resolver la controversia que mantenía con la operadora, reclamación que dio lugar a la tramitación del expediente ***EXPEDIENTE.3- le notificara en fecha 17/11/2017 la resolución que así lo declaraba. Nos remitimos en prueba de ello a los Hechos Probados sexto, séptimo y octavo de esta resolución. Insistir en que la fecha del 17/11/2017 es aquella en la que se produce la “aceptación de la notificación” por XFERA MÓVILES dado que fue el 09/11/2017 cuando la SESIAD puso a disposición de la entidad la notificación de la resolución dictada. En el Hecho Probado sexto se reflejan las declaraciones de la encargada de tratamiento de XFERA MÓVILES, la empresa GEMINI, que le prestaba el servicio de recobro de deuda, en las que dice que el 07/07/2017 recibió de XFERA MÓVILES para la gestión del recobro dos expedientes en los que el denunciante tenía la condición de deudor: Los identificados con las referencias ***EXPEDIENTE.1 y ***EXPEDIENTE.2, por sendos importes de 8 euros y 41,66 euros. El total asciende a 49,66 euros que es la cantidad que GEMINI, en nombre de XFERA MÓVILES, reclamó al denunciante. Los Hechos Probados séptimo y octavo reflejan la información que consta en los ficheros de la empresa GEMINI. En dos de las capturas de pantalla que aporta -que versan sobre el resultado de la consulta a los expedientes identificados con las referencias ***EXPEDIENTE.1 y ***EXPEDIENTE.2- figura con total claridad que hasta el 28/12/2017 GEMINI no procedió a dar de baja la operación de recobro. Es más, en su respuesta al requerimiento informativo de la Inspección de Datos (folio 21) dice taxativamente y con total claridad que fue el día 28/12/2017 cuando XFERA MÓVILES le informó del cese en la gestión de los expedientes asociados al denunciante (Hecho Probado noveno). A mayor abundamiento, se ha de subrayar que nos hemos referido hasta ahora a la fecha de notificación de la resolución de la SESIAD, que nos permite afirmar que en esa fecha “fehacientemente” la denunciada conoce la inexactitud del dato personal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 tratado en los ficheros de los que es responsable. Sin embargo, y sin perjuicio de que tomemos como referencia la fecha en la que la SESIAD notifica a la denunciada la resolución declarando la inexistencia de la deuda reclamada por GEMINI, no pueden obviarse otros elementos de los que puede inferirse que XFERA MÓVILES, tiempo antes de esa fecha, tuvo que ser conocedora de la inexactitud del dato. Extremo que ha de conectarse con el tenor del artículo 8.5 del RLOPD que otorga diez días para rectificar el dato inexacto “desde que se conozca la inexactitud” (El subrayado es de la AEPD) Antes de que la SESIAD dictara su resolución -lo que acontece el 23/10/2017XFERA MÓVILES era consciente de que no podía demostrar la veracidad de la deuda que imputaba al denunciante y que trataba de cobrar a través de GEMINI. Se infiere así del hecho de que en el trámite de audiencia del procedimiento ***EXPEDIENTE.3 seguido ante la SESIAD, en el que se otorgó a XFERA MÓVILES la posibilidad de aportar algún documento del que pudiera inferirse la existencia de la deuda, la entidad no llega a aportar ningún documento acreditativo de la deuda que pretendía cobrar. Nos remitimos al Hecho Probado segundo en el que se transcribe un fragmento del fundamento de la resolución dictada por la SESIAD que dice que XFERA MÓVILES no ha facilitado información alguna sobre las circunstancias de la deuda cuyo pago le es requerido ni ha presentado acreditación alguna que permita determinar los conceptos que pretende cobrar al afectado. A idéntica conclusión puede llegarse a la luz de los correos electrónicos que el denunciante envió a GEMINI (encargada de tratamiento de XFERA MÓVILES) a la dirección electrónica masmovil@geminicollections.com como respuesta a los requerimientos de pago recibidos. No ya a la luz de los mensajes que envió el 13/07/2017 y 14/07/2017 -en los que el denunciante explicaba que había un error de Más Móvil y que no tenía ninguna deuda con la entidad- sino fundamentalmente a la luz del correo de 28/08/2017, en el que informa a GEMINI de la presentación de una reclamación contra XFERA MÓVILES ante la SESIAD motivada por la deuda que le viene requiriendo y a la que es ajeno, o el de 23/10/2017 en el que informa de que la SESIAD ya ha dictado resolución declarando que la deuda que le reclaman es inexistente (folios 3 a 15) Pues bien, en todo caso, a tenor del artículo 8.5 del RLOPD, una vez transcurrido el plazo de diez días desde la fecha en la que XFERA acepta la notificación de la resolución de la SESIAD, lo que aconteció el 17/11/2017, debió haber procedido de oficio a cancelar de sus ficheros el dato inexacto. Llegados a este punto se han de hacer algunas precisiones respecto a los términos inicial y final del plazo de diez días que el RLOPD, artículo 8.5, concede al responsable del fichero para que efectúe la rectificación de los datos inexactos que constan en él. El artículo 6 del RLOPD, “Cómputo de plazos”, dispone que “En los supuestos en que este reglamento señale un plazo por días se computarán únicamente los hábiles…”. Paralelamente la LPACAP -vigente cuando entra en la AEPD la denuncia de la que trae causa este expediente- en su artículo 29.2 excluye del cómputo de los días hábiles los sábados, domingos y los declarados festivos. Por lo que atañe al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 término inicial del cómputo del plazo de diez días se ha de tener en cuenta que el artículo 8.5 RLOPD lo sitúa en el día en que se tiene conocimiento de la inexactitud y no, a diferencia del artículo 29.3 LPACAP, “desde el día siguiente”. Resulta por ello que el término inicial del cómputo del plazo del artículo 8.5 RLOPD es el 17/11/2017 y que el plazo habría finalizado el 30/11/2017. En definitiva, ha quedado acreditado que, al menos, hasta el 28/12/2017 XFERA MÓVILES mantuvo el dato inexacto asociado al denunciante, ya que será en esa fecha cuando comunique a su encargada de tratamiento la baja de los expedientes de recobro asociados a aquél de modo que la cancelación del dato en ningún caso pudo haberse producido antes. Conducta que vulnera el artículo 4.3 de la LOPD. B. El nacimiento de responsabilidad sancionadora presupone la existencia de culpabilidad en cualquiera de sus manifestaciones: dolo, culpa o culpa levísima. En el ámbito del Derecho Administrativo Sancionador no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente como presupuesto para su imposición. (STC 76/1999). El artículo 28 de la Ley 40/2015, de Régimen Jurídico de las Administraciones Públicas, recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. La acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia, como ha reconocido reiteradamente el Tribunal Supremo. La Audiencia Nacional, Sentencia de 17/10/2007 (Rec. 63/2006), ha manifestado que “....el ilícito administrativo previsto en el artículo 44.3.
  17. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” El Tribunal Supremo, por su parte, entiende que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia a observar se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En el presente caso la denunciada obró con una grave falta de diligencia, por cuanto transcurrieron al menos 28 días desde la fecha en la que conoció C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 fehacientemente que el dato relativo a la deuda atribuida al denunciante era inexacto y la fecha en la que, como muy pronto, procedió a la cancelación. Esta falta de diligencia en el cumplimiento de las obligaciones que le impone la normativa de protección de datos de la que adolece la conducta de XFERA MÓVILES queda reforzada por otras circunstancias a las que se ha hecho mención. En el curso del procedimiento seguido ante la SESIAD, en el trámite de audiencia otorgado a la operadora, ésta no aportó ningún documento, prueba o evidencia de que la deuda existía, lo que significa que antes de que la SESIAD dictara su resolución sabía cuál sería el resultado. Pese a ello, fue necesario un prolongado periodo de tiempo para que XFERA MÓVILES cancelara el dato inexacto. XFERA mantuvo en sus ficheros los datos personales del afectado asociados a una deuda a la que él era ajeno durante, al menos, 28 días desde de la fecha -computada a partir de la recepción de la notificación fehaciente de la resolución dictada por la SESIAD- en la que finalizó el plazo concedido por el artículo 8.5 del RLOPD para cancelar los datos inexactos. Esta conducta es subsumible en el tipo sancionador del artículo 44.3.
  18. c)de la LOPD, precepto que dispone: Son infracciones graves: (..) “
  19. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. IV En sus alegaciones a la propuesta de resolución XFERA MÓVILES reitera los argumentos que había esgrimido en su escrito de alegaciones al acuerdo de inicio del expediente y, además, invoca nuevos argumentos. El escrito de alegaciones al acuerdo de inicio invocó en defensa de su pretensión de archivo del expediente que el acuerdo de inicio vulneraba el principio de tipicidad, toda vez que, según manifestó, había mantenido los datos del denunciante “exactos y puestos al día” y había respetado los artículos 4.3 LOPD y 8.5 del RLOPD. En respuesta a este alegato nos remitimos al Fundamento Jurídico precedente y a los Hechos declarados probados, a la luz de los cuales consta acreditada cumplidamente la infracción de la LOPD que se le atribuye. Argumentó también la denunciada en sus alegaciones al acuerdo de inicio que la resolución dictada por la SESIAD que declaró la inexistencia de la deuda que venía atribuyendo al denunciante “no era firme”, de modo que el pronunciamiento contenido en tal resolución podría verse anulado, bien a través del recurso de reposición bien a través del recurso contencioso administrativo que podría haber interpuesto siendo la última fecha -dice la entidad- para la interposición de este último el 17/01/2018. Llega así a la conclusión de que “la comunicación de YOIGO a GEMINI para el cese de las acciones de recobro realizada el 28/12/2017 en modo alguno se hizo de forma extemporánea y sí dentro del plazo legalmente establecido para ello”. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 Ante lo manifestado por XFERA MÓVILES hemos de subrayar que la firmeza de la resolución y la ejecutividad de la resolución son conceptos distintos y tienen también efectos jurídicos diferentes. La resolución administrativa firme es aquella contra la que no cabe recurso alguno, bien por haber agotado los otorgados por el ordenamiento jurídico bien por el transcurso del plazo concedido sin que se haya hecho uso de tal facultad. Respecto a la ejecutividad, sin embargo, con carácter general en nuestro ordenamiento jurídico administrativo los actos son ejecutivos de inmediato (se haya o no interpuesto recurso administrativo) Pues bien, únicamente si la resolución fuese “no ejecutiva” podría afirmarse, como hace XFERA MÓVILES en sus alegaciones, que no tenía obligación de cancelar el dato inexacto. O lo que es igual, que no podría exigírsele que, notificada la resolución de la SESIAD que declaraba la inexistencia de la deuda, cancelase el dato inexacto dentro de los plazos que fija el RLOPD. La denunciada pretende atribuir a la resolución de la SESIAD el mismo efecto jurídico que si tal resolución tuviera carácter “no ejecutivo”, pero para llegar a ese resultado acude a un argumento jurídicamente insostenible: El hecho de que la resolución de la SESIAD fuera susceptible de ser impugnada en vía administrativa -a través del recurso potestativo de reposición- o en vía contenciosa, no altera su carácter “ejecutivo”. Sólo en el caso de que XFERA MÓVILES hubiera interpuesto alguno de los recursos que el ordenamiento jurídico le otorgaba y además hubiera solicitado la suspensión y le hubiera sido concedida, insistimos, sólo en tal hipótesis, la resolución de la SESIAD carecería de ejecutividad. Por el contrario, como la propia XFERA MÓVILES viene a reconocer en sus alegaciones al acuerdo de inicio del expediente, no ha llegado a interponer ningún recurso contra la resolución de la SESIAD, ni por consiguiente pudo haber solicitado la suspensión del acto. Únicamente si hubiera recurrido el acto de la SESIAD y solicitado la suspensión de la ejecución y el órgano competente la hubiera otorgado, cabría admitir sus objeciones a la imputación que se hace contra ella por vulneración del principio de calidad de los datos. Indicar sobre este particular que la resolución dictada por la SESIAD el 23/10/2017 y notificada a XFERA MÓVILES el 17/11/2017 está sujeta a las disposiciones de la Ley 39/2015, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LPACAP) que en su artículo 98, bajo la rúbrica “Ejecutoriedad” dispone lo siguiente: “1. Los actos de las Administraciones Públicas sujetos al Derecho Administrativo serán inmediatamente ejecutivos, salvo que:
  20. a)Se produzca la suspensión de la ejecución del acto
  21. b)Se trate de la resolución de un procedimiento de naturaleza sancionadora contra la que no quepa algún recurso en vía administrativa, incluido el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 potestativo de reposición.
  22. c)Una disposición establezca lo contrario.
  23. d)Se necesite aprobación o autorización superior.” (El subrayado es de la AEPD) Paralelamente el artículo 117.1 de la LPACAP, bajo la rúbrica “Suspensión de la ejecución” dice: “1. La interposición de cualquier recurso, excepto en los casos en que una disposición establezca lo contrario, no suspenderá la ejecución del acto impugnado” (El subrayado es de la AEPD) Precisar, finalmente, que la SESIAD dictó la resolución en la que declaraba la inexistencia de la deuda que XFERA MÓVILES atribuía al denunciante en el marco del procedimiento regulado por la Orden ITC/1030/2007, de 12 de abril, por la que se regula el procedimiento de resolución de las reclamaciones por controversias entre usuarios finales y operadores de servicios de comunicaciones electrónicas y la atención al cliente por los operadores. Procedimiento que no tiene naturaleza sancionadora, sino que su finalidad es la de ser un instrumento de resolución de controversias. XFERA MÓVILES en sus alegaciones a la propuesta de resolución, que presentó fuera de plazo, alega el principio de proporcionalidad (ex artículo 29 de la Ley 40/2015) y hace diversas consideraciones (que se detallan en el Antecedente Séptimo de esta resolución) sobre las circunstancias modificativas de la responsabilidad previstas en los artículos 45.4 y 45.5 LOPD que, a su juicio, han de operar como atenuantes o que no deben ser valoradas (en contra del criterio de esta Agencia) como agravantes. La respuesta a esta alegación se ofrece en el Fundamento Jurídico siguiente. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  24. a)El carácter continuado de la infracción.
  25. b)El volumen de los tratamientos efectuados.
  26. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  27. d)El volumen de negocio o actividad del infractor.
  28. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  29. f)El grado de intencionalidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23
  30. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  31. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  32. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  33. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  34. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  35. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  36. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  37. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  38. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” A. La denunciada ha solicitado en el escrito de alegaciones a la propuesta de resolución la aplicación del artículo 45.5.
  39. e)LOPD. Hemos de recordar que el acuerdo de inicio del expediente decía: “A tenor de las evidencias de que se dispone al tiempo de acordar la apertura del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se estima que concurre la circunstancia descrita en el artículo 45.5.
  40. e)LOPD”. Por su parte, la propuesta de resolución, en el Fundamento Jurídico IV, punto A, señaló: << A. En primer término, hemos de hacer referencia a una cuestión de especial relevancia: Esta propuesta de resolución se aparta del criterio que siguió el acuerdo de inicio del expediente, por cuanto en él se apreció la concurrencia de la atenuante cualificada del artículo 45.5.
  41. e)LOPD – “Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”- lo que dio lugar, en virtud del efecto jurídico que deriva de la aplicación de tal disposición, a que la sanción se fijara en 24.000 euros. Por el contrario, en este trámite de propuesta de resolución estimamos que no se dan las condiciones que justifican la aplicación del artículo 45.5.
  42. e)LOPD. Por una parte, la infracción que se atribuye a XFERA MÓVILES (vulneración del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 principio de calidad del dato) tiene carácter permanente dado que sus efectos jurídicos continúan en el tiempo hasta que se pone fin a la irregularidad causada y, por otra, como se ha expuesto reiteradamente en esta propuesta de resolución, la cancelación del dato inexacto se habría producido como muy pronto el “28/12/2017”. En esa fecha la fusión por absorción de MÁS MÓVIL por XFERA MÓVILES era ya una realidad en el mundo jurídico: el 14/12/2017 se inscribe en el Registro Mercantil la escritura pública otorgada y el 21/12/2017 se publica en el BORME. En consecuencia, al no ser de aplicación el efecto jurídico previsto en el artículo 45.5 LOPD, se estima que la sanción a imponer en el expediente sancionador que nos ocupa habrá de estar comprendida en la escala que el artículo 45.2 LOPD fija para las infracciones graves: de 40.001 euros a 300.000 euros.>> En el escrito de alegaciones a la propuesta de resolución XFERA MÓVILES ha expresado su total disconformidad con el nuevo criterio incorporado por la propuesta que, en su opinión, no se adecúa a la previsión del artículo 45.5.
  43. e)LOPD La denunciada alega que el plazo de diez días para rectificar el dato inexacto debería de computarse no desde que se le notifica fehacientemente por la SESIAD su resolución, el 17/11/2017, sino desde el 21/12/2017, fecha en la que se publica en el BORME la fusión por absorción de MÁS MÓVIL por parte de XFERA MÓVILES. Reproducimos para mayor claridad el siguiente fragmento del escrito de alegaciones a la propuesta: “Por tanto, fue el 21/12/2017 cuando XFERA tuvo efectivo conocimiento de que los datos del denunciante sometidos a tratamiento por parte de la sociedad absorbida resultaban inexactos, y por tanto, fue en esa fecha cuando, en aplicación de lo dispuesto por el citado artículo 8.5 RLOPD, debió comenzar a computarse, en esta ocasión a favor de XFERA, el plazo de diez días para proceder a su rectificación”. (El subrayado es de la AEPD) Para llegar a tal conclusión la entidad se apoya en los incisos tercero y cuarto del artículo 8.5 del RLOPD: “Cuando los datos hubieran sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviera el tratamiento de los datos deberá proceder a la rectificación y cancelación de la notificación”. Señalar al respecto que la fusión por absorción ente XFERA MÓVILES y MÁS MÓVIL dio lugar a que la entidad absorbente se subrogara en la posición jurídica de la absorbida y que los preceptos alegados (artículo 8.5 RLOPD, incisos tercero y cuarto) no son de aplicación al caso que nos ocupa ya que no ha existido “cesión” de datos. Así lo previene el artículo 19 del RLOPD: “En los supuestos en que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre” A la luz de lo expuesto, la pretensión de la entidad no puede prosperar pues no están presentes los elementos objetivos que integran la descripción de esa circunstancia modificativa de la responsabilidad. La conducta infractora se inició con la entidad absorbida, MÁS MÓVIL, pero la infracción -al ser continuada- se mantuvo, al menos hasta el 28/11/2017, en tanto que la inscripción en el Registro Mercantil de la escritura de fusión data del 14/12/2017 y la publicación en el BORME del 21/12/2017. En consecuencia, la sanción a imponer en el expediente sancionador que nos ocupa habrá de estar comprendida en la escala que el artículo 45.2 LOPD fija para las infracciones graves: de 40.001 euros a 300.000 euros. Por lo que respecta a las circunstancias modificativas de la responsabilidad descritas en el artículo 45.4 LOPD, la denunciada ha mostrado su total discrepancia hacia el criterio adoptado por esta Agencia tanto en el acuerdo de inicio como en la propuesta de resolución. De las alegaciones efectuadas al escrito de propuesta se infiere que solicita la aplicación en calidad de atenuantes de las contempladas en los apartados b), e),
  44. h)e
  45. i)del artículo 45.4 LOPD además de rechazar las agravantes que la AEPD ha apreciado, a saber las siguientes: -Artículo 45.4.
  46. a)El carácter continuado de la infracción. Circunstancia que es de aplicación en aquellos supuestos en los que la infracción cometida tiene carácter permanente, naturaleza que la Audiencia Nacional atribuye a la infracción del artículo 4.3 LOPD. En el presente caso XFERA MÓVILES mantuvo el dato inexacto asociado al denunciante más allá del plazo de diez días que el artículo 8.5 del RLOPD concede para efectuar la cancelación oportuna. XFERA MÓVILES justifica su objeción a la aplicación de esta agravante en el “breve” periodo de tiempo transcurrido entre la fecha en la que se le notifica fehacientemente la resolución de la SESIAD (el 17/11/2017) y la fecha en la que da de baja el expediente de recobro de la encargada de tratamiento GEMINI (28/12/2017). El artículo 45.4.
  47. a)LOPD alude exclusivamente al “carácter continuado” de la infracción. No menciona como elemento integrante de su descripción que haya transcurrido un determinado periodo de tiempo en el que la infracción se deba mantener; ello sin perjuicio de que si el periodo de tiempo es muy prolongado pueda tomarse en consideración para otorgar una especial cualificación a la agravante. - “La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, (apartado
  48. c)La objeción de XFERA MÓVILES a la aplicación de esta agravante tampoco es admisible. Es un hecho objetivo e incontestable que las especiales características de la actividad empresarial de la denunciada entrañan, con carácter ineludible, el tratamiento de datos de carácter personal de sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 - “El volumen de negocio o actividad del infractor”, (apartado d). XFERA MÓVILES, por su cifra de negocio, tiene la consideración de gran empresa del sector de telecomunicaciones. La denunciada rechaza la aplicación de esta agravante porque, dice, no se explica ni se motiva. Sobre tal cuestión basta indicar que estamos ante un “hecho notorio” por lo que no es preciso prueba alguna. En este sentido ya en el año 2014 la cifra de negocio de la operadora superaba los cien millones de euros por lo que formaba parte del grupo de 14 operadoras nacionales designadas por la CNMC para participar en la financiación del servicio universal de telecomunicaciones. La denunciada invoca los apartados b, e, h, f, e i, del articulo 45.4 LOPD, entendemos que en calidad de atenuantes. Argumenta que ni ha obtenido beneficios, ni se han producido perjuicios al afectado -que, en su caso, tampoco están acreditados- y que no ha existido “intencionalidad” por su parte, añadiendo que cuenta con procedimientos y medios para el correcto tratamiento de los datos personales. En relación a la circunstancia del apartado
  49. b)del artículo 45.4 LOPD -el volumen de tratamientos efectuados- que la denunciada invoca en calidad de atenuante en consideración a que únicamente se ha visto afectado por su conducta infractora un dato personal del denunciante, precisar que esta circunstancia por razones lógicas únicamente puede operar como agravante y no como atenuante. La vulneración de la normativa de protección de datos respecto a uno solo de los datos personales del afectado es presupuesto indispensable para que la conducta infractora exista. Será a partir de entonces cuando podrá valorarse, atendiendo al volumen de los datos que han sido objeto de tratamiento, si ese volumen es exponente de una mayor antijuridicidad o culpabilidad de la conducta infractora. Sobre la pretensión de que se estime como atenuante el apartado e), ausencia de beneficios, indicar que la Audiencia Nacional, Sala de lo Contencioso Administrativo, en SAN de 17/04/2018 (Rec. 254/2017) rechazó la pretensión de la parte demandante, sancionada por la AEPD, de que se estimara esta circunstancia explicando que “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. Este mismo espíritu es el que recoge la SAN de 31/03/2017 (Rec. 845/2015) Respecto al apartado
  50. f)del artículo 45.4 LOPD, “grado de intencionalidad”, señalar que esa circunstancia, pese a su tenor literal, se refiere a la culpabilidad en sentido amplio, comprensiva tanto del dolo, la culpa e incluso la culpa levísima. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “(…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. En cuanto a la naturaleza de los perjuicios causados, (apartado h), perjuicios que XFERA MÓVILES niega que se hayan causado, hemos de decir que, como en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 diversas ocasiones se ha pronunciado la Sala de la Audiencia Nacional, es ya en sí mismo un perjuicio el hecho de que la persona física que ha visto vulnerado su derecho fundamental a la protección de datos haya tenido que acudir a una instancia administrativa o judicial para recabar su tutela. En el presente caso está acreditado que el denunciante, además de enviar a la gestora de cobros varios emails explicativos de la situación, se vio obligado para poner fin a la situación irregular a acudir a un procedimiento administrativo ante la SESIAD. Añadir además que la SESIAD no tuvo que adoptar su decisión a la luz de los argumentos y documentos de XFERA, pues ésta se abstuvo de formular alegaciones en el trámite de audiencia lo que evidencia que no disponía de ningún documento en el que apoyar la existencia de la deuda reclamada. Así pues, en el presente caso tampoco podría estimarse como atenuante, tal y como pretende la entidad denunciada, la circunstancia recogida en el apartado
  51. h)del artículo 45.4 LOPD. Por lo que atañe a la circunstancia del apartado
  52. i)no obran en el expediente elementos que nos permitan afirmar que la infracción cometida es fruto de un error puntual en el marco de un procedimiento correcto de tratamiento de los datos, pues ante el requerimiento de pago por parte de la encargada de tratamiento de XFERA MÓVILES el denunciante le remitió varios emails en los que negaba tener la condición de deudor y no fue suficiente para que hiciera una comprobación de la exactitud del dato tratado. En definitiva, XFERA MÓVILES vino obligada desde la fecha en la que se le notificó por la SESIAD la resolución declarando la inexistencia de la deuda (aceptada por la entidad el 17/11/2017) a dar cumplimiento al principio de calidad de los datos de carácter personal que son objeto de tratamiento y, por tanto, a cancelar el dato inexacto en el plazo fijado por el artículo 8.5 del RLOPD, plazo que finalizó -computados diez días hábiles- el 30/11/2017. Sin embargo, XFERA MÓVILES mantuvo en sus ficheros, al menos hasta el 28/12/2017, un dato inexacto, la consideración del denunciante como deudor, y hasta esa fecha sus datos fueron tratados, en la condición de deudor, por una tercerea entidad para el cobro de la supuesta deuda. Tomando en consideración las circunstancias que concurren, se acuerda imponer una sanción de 50.000 euros, cuantía próxima al mínimo previsto para las infracciones graves, por infracción del artículo 4.3 LOPD, tipificada como infracción grave en el artículo 44.3.c). Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad XFERA MÓVILES, S.A., con NIF A82528548, por una infracción del artículo 4.3 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  53. c)de la citada Ley Orgánica 15/1999, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  54. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  55. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.