← España

PS-00099-2014

1/15 Procedimiento Nº PS/00099/2014 RESOLUCIÓN: R/00744/2014 En el procedimiento sancionador PS/00099/2014, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA DE ESPAÑA, S.A.U., vista la denuncia presentada por Doña A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 04/05/2013 Dña. A.A.A. (en lo sucesivo la denunciante) presenta denuncia en esta AEPD frente a la Entidad TELEFÓNICA DE ESPAÑA, S.A.U. (en lo sucesivo la denunciada) en la que de manera sucinta manifiesta lo siguiente: “…Telefónica ha aceptado abrir un contrato a otra persona con mi DNI, el DNi lo perdí y además debo añadir que estaba caducado…”. Aporta la siguiente documentación: - Denuncia presentada en fecha 25/11/2010 ante la Policía Nacional con motivo del extravío del DNI. - Documento de fecha 3/12/2012 emitido por el responsable del fichero ASNEF y por el que se atribuye a la denunciante una deuda de 221,42 € por parte de TELEFONICA. - Denuncia presentada en fecha 4/12/2012 ante la Policía Nacional por los mismos hechos. - Escrito fechado el 14/12/2012 por el que la denunciante solicita el ejercicio del derecho de cancelación, supuestamente ante el responsable del fichero ASNEF, ya que no aparece dicho responsable, pero si aparece la dirección del mismo. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EQUIFAX IBERICA, S.L., TELEFÓNICA DE ESPAÑA, S.A.U., teniendo conocimiento de que: Con fecha 26/6/2013 se solicita a EQUIFAX IBERICA, SL información relativa a Dª A.A.A. y de la respuesta recibida se desprende lo siguiente: - Respecto del fichero ASNEF: No consta información respecto del denunciante. - Respecto del fichero de NOTIFICACIONES: Consta una notificación emitida a nombre de Dª. A.A.A., con fecha de emisión 17/09/2011, por un producto de TELECOMUNICACIONES, por un importe de 221,42 € y siendo la entidad informante TELEFONICA. C/ Jorge Juan, 6 28001 – Madrid Respecto del fichero de BAJAS: www.agpd.es sedeagpd.gob.es 2/15 Consta una baja asociada a la notificación citada en el apartado anterior para una operación con fecha de alta y baja en ASNEF de 13/09/2011 - 17/12/2012. El motivo consta como INCONGR, el importe es de 221,42 € y por vencimientos impagados primero y último de fechas 07/07/2011 - 06/09/2011. Con fecha 26/6/2013 se solicita a la Entidad—TELEFONICA-- información relativa a Dª A.A.A. (*la denunciante) y de su respuesta se desprende: TELEFONICA tiene asociados a nombre de la denunciante la línea telefónica número ***TEL.1 y al domicilio en Calle (C/.................1), de (Burgos), con fecha de alta el 17/01/2011 y baja el 20/06/2011. Asociada a dicha línea hay siete facturas, informando la entidad que no hay facturas pendientes de pago, según acredita mediante impresión de pantalla de los recibos pendientes, en la que no aparece ninguno. Respecto del contrato, manifiesta la entidad que no ha sido posible recuperar la grabación de la contratación Manifiesta la entidad que ha existido consumo de la línea, según acredita presentando el resumen de consumos de una factura, en la que consta la realización de llamadas. Así mismo, manifiesta que se abonó parte de la deuda, aportando impresión de pantalla en la que consta un cobro recibido por la entidad, asociado a la denunciante. Informa TELEFONICA que con fecha 17/12/2012 se genera la reclamación n° ***NÚMERO.1 mediante la cual se anula la deuda que quedaba pendiente de abonar. Aporta impresión de pantalla de la reclamación presentada en fecha 17/12/2012, asociada a la denunciante, y que resultó estimada por la entidad. Manifiesta la entidad que Se procedió a la anulación de la deuda en el momento en que la denunciante se puso en contacto con TELEFONICA. Se verifica que la fecha de la reclamación coincide con la fecha de baja en el fichero ASNEF. El motivo de la inclusión de la denunciante en el fichero ASNEF fue el impago de las facturas números ***FACTURA.1 y ***FACTURA.2, y su exclusión fue con motivo de la anulación de la deuda pendiente. TERCERO: Con fecha 21 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la Entidad --TELEFÓNICA DE ESPAÑA, S.A.U--., por presunta infracción de los artículos 4.3 y 6.1 LOPD de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como infracción grave en el artículo 44.3

  1. b)y
  2. c)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 CUARTO: Notificado el acuerdo de inicio, la Entidad --TELEFÓNICA DE ESPAÑA, S.A.U.-- mediante escrito de fecha 12/03/14 formuló alegaciones, significando de manera sucinta lo siguiente en relación con los “hechos” objeto de denuncia: Con carácter previo cabe manifestar la disconformidad con la apertura del presente procedimiento sancionador, dado que del propio Acuerdo de Inicio resulta que nos enfrentamos a una suplantación de identidad que afecta tanto a la denunciante como a la propia operadora. El origen se encuadra en la pérdida del carnet de identidad por la denunciante. Asimismo, por mi representada se procedió a la anulación de la deuda en el mismo momento en que la denunciante se puso en contacto con Telefónica. No infracción del art. 6.1 LOPD. En relación con la imputación realizada no podemos más que afirmar, que por un error puntual la grabación asociada a la contratación efectuada del número ***TEL.1 en nombre de la denunciante no ha sido almacenada. Debe tenerse en cuenta que mi representada puso los medios necesarios para realizar las grabaciones. Tal y como puede observarse en las pantallas que se adjuntan como Doc. Anexo nº 1, la causa de baja de la línea objeto de controversia fue por FRAUDE. No infracción del art. 4.3 LOPD. Los datos personales que se comunican a los ficheros de solvencia patrimonial, son el número de DNI y el importe de la deuda, de acuerdo con los procedimientos existentes. Parece claro que al haber procedido mi representada a la rectificación de los datos asociados a la denunciante, no sólo se confirmó la rectificación de los datos para proceder a la exclusión del DNI del fichero de solvencia, sino que desencadenó el procedimiento de cancelación de datos, por contratación fraudulenta. En relación con lo expuesto, interesa al derecho de esta parte traer a colación la aplicación del principio de concurso ideal de infracciones. Ausencia de culpabilidad. Telefónica ha actuado en todo momento de buena fe precisamente por el principio de confianza legítima y en la plena de creencia de estar actuando dentro de la más estricta legalidad, respaldad y amparada su conducta por la Legislación vigente, por lo que no puede considerarse su actuación culposa, ni menos aún dolosa. Considera esta parte que no se ha acreditado la existencia de prueba alguna que acredite la presunta conducta infractora que sea típica, antijurídica y culpable por parte de mi representada quien, reiteramos, actuó bajo la apariencia de legalidad de la relación contractual. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 Aplicación subsidiaria del art. 45.5 LOPD. En el supuesto de que no fueran atendidas nuestras alegaciones por esta AEPD, solicitamos de la misma que se tengan en cuenta las especiales circunstancias que se han producido en el presente procedimiento (no culpabilidad, no intencionalidad, no se han causado perjuicios al denunciante y ausencia de beneficios para mi representada), para en su virtud y en atención a lo dispuesto en el art. 45.5 LOPD, resuelva establecer la cuantía de la sanción aplicando la escala relativa a la clase de infracciones leves. QUINTO: Con fecha 24/03/14 se inició el período de práctica de pruebas, en el que se acuerda dar por reproducida la denuncia presentada y la documentación anexa, así como, las alegaciones de la entidad denunciada—Telefónica--. SEXTO: Con fecha 28/03/14 se notifica en legal forma a la Entidad-TME—propuesta de Resolución en la que se propone una sanción de 20.000€ por la infracción del contenido del art. 6.1 LOPD, así como, una sanción de 20.000€ por la comunicación de los datos de la afectada a los ficheros de solvencia patrimonial y crédito, conculcando con ello el contenido del art. 4.3 LOPD. SÉPTIMO: Con fecha 22/04/14 se recibe en esta AEPD escrito de alegaciones de la Entidad—TME—en dónde se pone de manifiesto lo siguiente: -Con relación al hecho imputado. Debemos manifestar nuestra más absoluta disconformidad, no solamente con la presente propuesta contra la cual Telefónica realiza las presentes alegaciones, sino incluso contra la propia apertura del procedimiento sancionador, dicho sea, en términos de estricta defensa. Mi poderdante ha sido víctima de un fraude, que le ha ocasionado un coste ya que en virtud de la contratación de la línea han sido efectivamente prestados unos servicios que no han sido cobrados. -No infracción del art. 6.1 LOPD. En relación con la imputación realizada no podemos más que afirmar, que lamentablemente, por un error puntual la grabación asociada a la contratación efectuada del número ***TEL.1 en nombre de la afectada no ha resultado almacenada. -No infracción del art. 4.3 LOPD. Debemos manifestar puesto que mi representada no tenía conocimiento de los hechos hasta la recepción de la petición de cancelación interpuesta por la afectada ante Asnef (Equifax), siendo por tanto para la misma la deuda cierta, vencida y exigible, motivo por el cual, fueron los datos de la denunciante incluidos en los ficheros de solvencia patrimonial y crédito. -Vulneración de la presunción de inocencia. Como conclusión de todo lo anterior se debe señalar que no existiendo conducta antijurídica, ni típica, ni culpable de mi representado en los hechos imputados no puede ser sancionada, ni debería haberse incoado procedimiento sancionador. -Subsidiariamente aplicación del art. 45.5 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. Con fecha 04/03/13 se recibe en esta AEPD reclamación de la afectada en dónde pone de manifiesto lo siguiente: “…Telefónica ha aceptado abrir un contrato a otra persona con mi DNI, el DNI lo perdí y además debo añadir que estaba caducado…”.—documento nº 1--. En apoyo de su pretensión aporta copia de la denuncia presentada ante las Fuerzas y Cuerpos de Seguridad del Estado de fecha 25/11/10—folio nº 2—en dónde denuncia “que ha extraviado el DNI número ***DNI.1”. Segundo. Queda acreditado que la Entidad denunciada—Telefónica—no puede aportar copia de la grabación que legitima la contratación. “Consultada la Unidad correspondiente nos informan que no ha ido posible recuperar la grabación de la contratación”—folio nº 40--. Tercero. Queda acreditado que en los sistemas de información de la Entidad denunciada—Telefónica—constan inscritos los datos de la afectada asociados a la línea—***TEL.1—con fecha de alta 17/01/11 y fecha de baja 20/06/11. Teléfono ***TEL.1 Titular A.A.A. 17/01/11 F. Alta 20/06/11 F. Baja Cuarto. La Entidad denunciada—Telefónica—ha tratado los datos de la afectada procediendo a la emisión de facturas—folio nº 39--. Quinto. Queda acreditado que la denunciante ejercitó derecho de cancelación en fecha 14/12/12 frente al fichero de solvencia patrimonial y crédito—Asnef--. Sexto. Los datos de carácter personal de la denunciante fueron incluidos en los denominados ficheros de solvencia patrimonial y crédito a instancia de la Entidad— Telefónica—por el impago de las facturas: ***FACTURA.1 y ***FACTURA.2.  Fecha de alta 10/09/2011.  Fecha de baja: 15/12/12 por anulación de la deuda pendiente de abono. En fecha 17/12/12 se le comunica a la afectada por el fichero de solvencia patrimonial y crédito—Asnef (Equifax) la baja con la Entidad-Telefónica—de los datos asociados al identificador: ***DNI.1. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 II Antes de entrar en el fondo del asunto que nos ocupa cabe entrar a valorar la argumentación de la Entidad-TME—sobre supuesta vulneración del derecho a la defensa. Con fecha 21/02/14 se procede a emitir por el Director de la AEPD—Acuerdo de Inicio—notificado en legal forma, sin que la notificación del mismo implique sanción alguna, pudiendo y habiéndosele otorgado la oportunidad de alegar en Derecho cuanto estimase oportuno; a través de un procedimiento sustentado en el principio de contradicción y en el respeto al derecho a la presunción de inocencia—ex art. 24 CE--. La Ley 30/92, 26 de noviembre—LRJ-PAC—establece en su art. 80.2 establece la obligatoriedad de la apertura de un procedimiento probatorio “Cuando la Administración no tenga por ciertos los hechos alegados por los interesados o la naturaleza del procedimiento lo exija (…)”, por tanto si la Administración imputa/atribuye/acusa a una Entidad de la comisión de una infracción administrativa tendrá que obligatoriamente probar la realidad fáctica de los hechos y la responsabilidad concreta e individual del presunto responsable. Por consiguiente, no se considera afectado a tenor de lo argumentado por la Entidad denunciada—TME-- el derecho de defensa de la misma, ni formalmente, ni materialmente, como quedará acreditado a continuación en la argumentación relativa a la comisión de la infracción administrativa. III El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. IV En el presente caso, se procede a analizar la reclamación de fecha de entrada en esta AEPD 04/03/13 en dónde la afectada pone de manifiesto lo siguiente: “…Telefónica ha aceptado abrir un contrato a otra persona con mi DNI, el DNI lo perdí y además debo añadir que estaba caducado…”.—documento nº 1--. La conducta descrita puede ser constitutiva de una presunta infracción del art. 6.1 LOPD, como consecuencia de la vulneración del principio del consentimiento. A requerimiento de esta AEPD, la Entidad denunciada—Telefónica—en relación con la contratación del servicios/s vinculado a la afectada alega lo siguiente: “Consultada la Unidad correspondiente nos informan que no ha ido posible recuperar la grabación de la contratación”—folio nº 40--. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 Consentimiento que se define en la letra
  4. h)del Art. 3 LOPD como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de los datos personales que le concierne". Es al responsable del fichero y/o del tratamiento, como esta Sala ha reiterado en numerosísimas ocasiones (SSAN 31-5-2006, Rec. 539.2004 , y 13-6-2007 Rec.389.2005, por todas), a quien corresponde asegurarse de que aquél a quien solicita consentimiento efectivamente lo da, y que esa persona que está dando el consentimiento es realmente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley. En el caso que nos ocupa, no dispone la Entidad denunciada—Telefónica— copia de la grabación del contrato, que legitime el tratamiento de los datos de la afectada. A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. No consta que dicha persona haya contratado servicios de la entidad imputada, ni haya dado su consentimiento. En los documentos aportados al procedimiento no se encuentran contratos firmados por la denunciante, ni cualquier otro documento que acredite su voluntad de contratar. Por consiguiente, se considera acreditada la vulneración del contenido del art. 6.1 LOPD—LO 15/99—por la Entidad denunciada—Telefónica—al no disponer de medio de prueba admisible en Derecho que acredite fehacientemente que contaba con el consentimiento de la denunciante, ni haber quedado acreditada una diligencia mínima exigible en casos como el que nos ocupa a la hora de comprobar la identidad del titular de los datos. V Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD". VI La segunda infracción que se le imputa a la Entidad denunciada—Telefónica—está relacionada con el contenido del art. 4.3 LOPD. “Los datos de carácter personal serán exactos y puestos al día de forma que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 respondan con veracidad a la situación actual del afectado.”; tipificada como infracción grave en el art. 44.3
  5. c)de la referida norma, en su redacción vigente en el momento de cometerse los hechos denunciados. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Principio de calidad del dato que, tal y como ha señalado la Audiencia Nacional en numerosas ocasiones, ha de ser garantizado respecto de los propios ficheros de la entidad acreedora, sin necesidad de ninguna otra comunicación exterior y también, y especialmente, cuando se comunican los datos personales a los ficheros sobre solvencia patrimonial y crédito. En cualquier caso, y desde el momento en que se comunican a tales ficheros de morosidad datos personales de quien realmente no es deudor, o bien se mantienen en los referidos ficheros datos personales de quien ha dejado de ser deudor esta Sala ha considerado, en innumerables ocasiones, que se produce dicha vulneración del artículo 4.3 de la LOPD. La redacción del art. 38 tras la aplicación de la citada Sentencia del Tribunal Supremo de 15 de julio de 2010 es la siguiente: 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal quesean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  6. a)Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada.
  7. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación.
  8. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. De la documentación aportada consta que los datos de la afectada fueron comunicados al fichero de “morosos” –Asnef (Equifax) con fecha de alta 10/09/11 y fueron excluidos del mismo en fecha 17/12/12. Así, en las sentencias dictadas en los recursos 656/2001,711/2001, 388/2002 y 549/2002, con fechas, respectivamente, de 10 de mayo de 2002 , 6 de junio de 2002 , 3 de marzo de 2004 y 12 de Abril de 2004, entre otras muchas, y todas ellas en relación a la exigencia del artículo 29.4, hemos sostenido que los datos que consten en los registros debe responder a la "situación actual" de los interesados, exigiéndose el mayor rigor en cuanto a la actualidad de los datos, rigor que no es compatible con la inclusión de datos de una persona que no es deudora en el momento de introducir tales datos en el registro correspondiente. La denunciante tiene conocimiento de la inclusión de sus datos en los denominados ficheros de solvencia patrimonial y crédito aproximadamente en fecha 03/12/12, procediendo a denunciar los hechos en la Comisaría de Distrito—La Latina (Madrid) en fecha 04/12/12 y remitiendo carta ejercitando derecho de cancelación— Asnef—en fecha 14/12/12. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 En el caso que nos ocupa, la denunciante ejercita derecho de cancelación con fecha 14/12/12 frente al fichero de morosidad—Asnef- siendo excluidos sus datos de carácter personal del mismo con fecha 17/12/12--. Por consiguiente, la Entidad denunciada—Telefónica--comunicó determinada deuda al fichero-- Asnef (Equifax)-- con el DNI de la persona denunciante. En definitiva la Sra. A.A.A. apareció incluida en el referido fichero de morosidad a través de su DNI, en virtud de una deuda que no le correspondía, por lo que la vulneración del principio de calidad del dato del articulo 4.3 LOPD ha de ser confirmada. VII El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “...no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar las operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de dato (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). La Entidad denunciada—Telefónica—“por un error puntual no dispone de la grabación asociada a la contratación efectuada”—folio nº 60—la presunta intervención de un tercero de mala fe, no excluye la falta de diligencia de la denunciada aún a título de “mera inobservancia”; dado que al menos debería aportar a efectos probatorios copia de la grabación efectuada aunque fuera por un tercero de mala fe que acredite en Derecho el engaño malicioso. Por tanto, contrariamente a lo manifestado, queda acreditada la comisión de la infracción del art. 6.1 LOPD, a título de culpa, en concreto la falta de diligencia exhibida cuando situaciones como las descritas (sobradamente conocidas por la Entidad denunciada—TME--), la misma no ha desplegado la diligencia mínima exigible en estos casos. Los datos de la afectada fueron incluidos en los ficheros de solvencia patrimonial y crédito—Asnef-- con fecha 10/09/11 siendo la Entidad informante: Telefónica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 En el presenta caso, consta acreditado que la Entidad-Telefónica-- recibió reclamación de la afectada—derecho de cancelación—en fecha 14/12/12 en dónde se comunica la falta de relación contractual entre las partes; siendo confirmada la misma en fecha 15/12/12 y comunicándose a la afectada la baja efectiva del fichero de “morosidad” en fecha 17/12/12; por lo que la situación de la misma se regulariza en un plazo prudencial de 3 días. Junto con ello cabe concretar que los datos de la afectada no fueron excluidos de los ficheros de solvencia patrimonial y crédito hasta el 17/12/12—folio nº 20--, si bien, según las alegaciones y documentación aportada consta la baja del servicio en fecha 20/06/2011—folio nº 39--. Se procede a tener en cuenta la aplicación del art. 45.5 LOPD en concreto el apartado
  19. b)del citado precepto “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente” a la hora de acotar la sanción dentro de la escala relativa a las infracciones leves: 900€ hasta 40.000€. A la hora de motivar la sanción a imponer se tienen en cuenta los criterios del art. 45.4 LOPD. En concreto:  La vinculación de la actividad del infractor con la realización del tratamiento de datos de carácter personal.—45.4
  20. c)LOPD--. Telefónica es una Entidad acostumbrada al trato con los potenciales clientes y a la oferta de servicios que requiere contar con los datos personales de los mismos.  El volumen de negocio o actividad del infractor. 45.4
  21. d)LOPD. A modo ilustrativo Telefónica en el año 2013 obtuvo un beneficio neto consolidado de unos aproximadamente 2.056 millones de euros.  La naturaleza de los perjuicios causados a la titular de los datos. 45.4
  22. h)LOPD. TME no se limitó al tratamiento de los datos de la afectada sin su consentimiento, sino que además los comunicó a los ficheros de solvencia patrimonial y crédito, pudiendo haber decidido no haberlos incluido en los citados ficheros, tratándose en definitiva de dos infracciones distintas e independientes que presentan sustantividad propia en el presente caso. Así resulta constatado que no empleó la más mínima diligencia en comprobar que los datos aportados eran los de la denunciante, no adoptando medida alguna en ningún momento posterior a la contratación para verificar la misma, si bien se considera acertado en relación con la infracción del art. 44.3
  23. b)LOPD aplicar lo dispuesto en el art. 45.5
  24. a)LOPD y establecer la sanción dentro del cuadro de las infracciones leves: 900 hasta 40.000€. En consecuencia cabe apreciar falta de diligencia en la actuación de la citada operadora, sin que quepa hablar de vulneración del principio de culpabilidad, habiendo quedado acreditada la comisión de la infracción tipificada en el artículo 44.3.
  25. b)“al no disponer de la grabación asociada a la contratación efectuada”. Por todo lo expuesto, se acuerda imponer a la Entidad—TME-- una sanción que se cifra en la cuantía de 20.000€ por la infracción del contenido del art 6.1 LOPD, al no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 haber desplegado la diligencia mínima exigible en el alta de la contratación de los servicios de la afectada, así como, una sanción de 20.000€ por ser tratada como cliente deudor de una cantidad que no era “cierta, vencida y exigible” informando sus datos a los denominados ficheros de “morosidad” conculcando el contenido esencial del art. 4.3 LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA DE ESPAÑA, S.A.U., por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
  26. b)de dicha norma, una multa de 20.000€ (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad TELEFÓNICA DE ESPAÑA, S.A.U., por una infracción del artículo 4.3 de la LOPD, tipificada como infracción grave en el artículo 44.3
  27. b)de dicha norma, una multa de 20.000€ (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a la Entidad --TELEFÓNICA DE ESPAÑA, S.A.U--. y a Doña A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.