← España

PS-00114-2019

1/21  Procedimiento Nº: PS/00114/2019 938-300320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22/06/2018 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la reclamante) en el que declara que “MOVISTAR”, nombre comercial bajo el que operan TELEFÓNICA MÓVILES ESPAÑA, S.A.U., y TELEFÓNICA DE ESPAÑA, S.A.U., ha tratado sus datos personales -nombre, dos apellidos, NIF y datos bancarios- sin su consentimiento, pues ha dado de alta a su nombre tres líneas telefónicas que ella niega haber contratado y le ha pasado al cobro tres facturas en su cuenta bancaria. Expone que presentó una reclamación ante MOVISTAR por estos hechos, puso en su conocimiento que ella no había realizado ningún contrato y consiguió que dieran de baja “los números de teléfono el 27 de abril de 2018” si bien, pese a ello, le han seguido pasando al cobro nuevas facturas en su cuenta bancaria. Añade que la contratación fue telefónica y que MOVISTAR se ha negado a facilitarle la grabación de la contratación que supuestamente ella habría realizado. Aporta una copia de la denuncia que interpuso en la Policía (Oficina de Denuncias- ***LOCALIDAD.1) el 25/04/2018 en la que hace estas declaraciones: - Que en una cuenta bancaria de la que es titular en la entidad CAIXABANK, (número finalizado en los dígitos ***DÍGITOS.1) le cargaron las siguientes facturas de MOVISTAR: (

  1. i)Factura ***FACTURA.1, de 01/03/2018, por importe de 83,91 euros. (ii)Factura ***FACTURA.2 de 01/04/2018, por importe de 71,72 euros. - Que cuando formula reclamación telefónica ante la compañía le informan de que en el mes de enero se realizó una contratación telefónica del producto “MOVISTAR FUSIÓN” asociado a los números de línea ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3. - Que la operadora le había confirmado que la contratación la efectuó otra persona “llamada B.B.B., que dijo ser su marido, tal y como se puede escuchar en la grabación que guardan sobre la contratación y que manifestó la teleoperadora”. - “Que precisamente la denunciante se encuentra divorciada hace más de diez años, llamándose casualmente su exmarido B.B.B.” En fecha 11/06/2018 la reclamante interpuso una nueva denuncia ante la Policía (Oficina de Denuncias- ***LOCALIDAD.1), ampliatoria de la anterior, en la que expone que, pese a haber dado de baja el 27/04/2018 las líneas fraudulentas, ha recibido una nueva factura de MOVISTAR, de fecha 01/06/2018, que detalla el consumo realizado por las referidas líneas en el periodo comprendido entre el 18/04/2018 y el 17/05/2018, factura ***FACTURA.3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 Anexa copia de las siguientes facturas del producto “Fusión”, que llevan el anagrama de MOVISTAR y la indicación TELEFÓNICA DE ESPAÑA, S.A.U. (en adelante TDE o la reclamada): 1.- ***FACTURA.1, emitida el 01/03/2018. En ella consta el nombre de la reclamante, como titular del contrato y como destinataria de la factura, y su NIF ***NIF.1 (del que aporta una copia). Los servicios contratados son una línea fija (***TELÉFONO.1) y la línea móvil ***TELÉFONO.2. 2.- ***FACTURA.2 de 01/04/2018, con idénticos datos 3.- ***FACTURA.4, de 01/05/2018, con idénticos datos 4.- ***FACTURA.3, de 01/06/2018, con idénticos dato. SEGUNDO: A la vista de los hechos expuestos, la AEPD desplegó las siguientes actuaciones: A.- En el ámbito del expediente de referencia E/4627/2018, la AEPD, mediante escrito de fecha 16/08/2018, dio traslado a TELEFÓNICA MÓVILES ESPAÑA, S.A.U., (TME) de una copia de la reclamación y le solicitó explicaciones sobre su actuación en relación con los hechos reclamados. La notificación, a través de la aplicación notific@, fue aceptada por esta operadora el 20/08/2018. TME respondió a la solicitud de información -en el marco del E/4627/2018- en fecha 10/09/2018 haciendo constar como “cuestión previa” lo siguiente: “Interesa poner de manifiesto que la reclamación de la Sra. …está dirigida a movistar que es el nombre comercial de TME y de Telefónica de España, S.A.U., en adelante TDE, resultando ser esta última la que presta el servicio de telecomunicaciones al que se refiere la mencionada reclamación”.(El subrayado es de la AEPD) - TME hizo las declaraciones y aportó los documentos que se detallan: Que ha enviado un escrito a la reclamante en contestación a la reclamación que ella ha formulado ante la AEPD y que ha sido resuelta definitivamente. Acompaña, como anexo 1, copia de la carta que envió a la reclamante, de fecha 06/09/2018, firmada por la Oficina del DPD, con el siguiente texto: <<(…) damos contestación a la reclamación presentada por usted ante la Agencia Española de Protección de Datos …(…) le informamos que se ha dado respuesta a la AEPD especificando las causas que han motivado la incidencia que dio lugar a su reclamación así como el detalle de las medidas adoptadas…(…) informarle que dadas las especiales circunstancias que han concurrido en el caso, se ha procedido por parte de mi representada a anular todas las facturas emitidas en relación con las líneas cuya baja fue tramitada, quedando el asunto definitivamente solucionado>>. Que reconoce que la reclamante solicitó en fecha 25/04/2018 la baja de las líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3, respecto a las que había resultado contratado el servicio Movistar Fusión y que, además de su solicitud de baja, la reclamante presentó una reclamación a la que la reclamada respondió por carta, cuya copia aporta, integrada en los documentos del anexo 2. Forman parte del anexo 2 que la reclamada envía a la AEPD los documentos siguientes: (
  2. i)Un escrito que la reclamante dirigió a MOVISTAR, con fecha de firma 11/06/2018, en el que detalla que fue cliente de MOVISTAR durante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 - muchos años y se dio de baja en noviembre de 2017. Que en enero de 2018 “alguien suplantó mi identidad y Movistar siguió pasándome cuotas en mi cuenta bancaria”. Que, después de hablar con varios operadores de esa compañía, consiguió dar de baja los números el 27 de abril de 2018 “Y puse en su conocimiento que yo no había realizado ese contrato. Contrato que se hizo mediante grabación telefónica”. Que MOVISTAR se niega a hacerle entrega de una copia de la grabación de la contratación. Solicita la devolución de los importes cobrados. (
  3. ii)La copia de la denuncia que la reclamante interpuso en la Comisaría de Policía el 25/04/2018 y las denuncias ampliatorias de la anterior, de fechas 04/05/2018 y 11/06/2018. (iii) Copia de una carta que MOVISTAR envía a la reclamante, de fecha 13/07/2018, vinculada al número de teléfono ***TELÉFONO.1, de la que reproducimos estos fragmentos: <<…le indicamos que hemos revisado su caso al detalle, indicándole que hemos realizado las gestiones oportunas, a fin de cancelar la deuda existente correspondiente a las líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3.>> Añade que todas las facturas que se emitieron en relación con las tres líneas precitadas fueron anuladas; que ninguna fue abonada, por lo que no procede la devolución a la reclamante de ningún importe, y que sus datos personales no fueron comunicados a ficheros de solvencia patrimonial. B.- Con fecha 13/12/2018 - en el marco del expediente de referencia E/10190/2018- se practican actuaciones de investigación dirigidas a TELEFÓNICA DE ESPAÑA, S.A.U. (TDE o la reclamada) Con fechas 21/12/2018 y 21/01/2019 la reclamada ha remitido la siguiente información en relación con los servicios contratados a nombre de la reclamante: 1. Según la información que consta en sus sistemas, las líneas de teléfono ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3, cuyos servicios se comercializan a través del servicio “Fusión”, se dieron de alta a nombre de la reclamante en fechas 22/01/2018 la primera y el 14/01/2018 las dos últimas. Se dieron de baja con fechas 01/05/2018 (la primera) y 25/04/2018, las dos últimas. 2. Aportan copia de los contactos que constan en sus ficheros asociados a la denunciante, donde figuran, los siguientes: 2.1 . Bajo la indicación “Información del asunto”, “Tipificación VentaContratación…Hera plus web”, “Tipo de gestión pedido”, se recoge esta anotación en el apartado observaciones: “emergia canarias b.alta de fijo destino fusión + futbol con porta de móvil ***TELÉFONO.2 y alta de adicional ***TELÉFONO.3. Grab ***GRABACIÓN.1(…)” (El subrayado es de la AEPD) . Bajo la indicación “Información General del Contacto ***CONTACTO.1” consta el número de cliente “*** Nº CLIENTE.1”, la fecha de inicio y fin de contacto, en ambos casos el 23/04/2018 a las 14.47.26 y a las 14.58.19, respectivamente; la indicación canal telefónico y en el apartado observaciones esta anotación: “Solicita baja por suplantación de identidad, pero no facilita el número a dar de baja. Le C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 remito a tienda. Facilito código de portabilidad para la entrega de los equipos en tienda” (El subrayado es de la AEPD) 1. Aporta copia impresa de un documento con el encabezado “Expediente de reclamación”. Bajo la rúbrica “Identificación de la reclamación” consta el número de reclamación “***RECLAMACIÓN.1”; como “Tipología” “Facturación”; como “fecha de recepción” el “12/07/2018”; como “Fecha objetivo” el “19/07/2018”; como “Importe bonificado” “171,29”; como “Estado de la reclamación”, “estimada” y en el apartado “Confirmación de la orden de pago”, “sí”. 2. Se aporta una grabación relativa a la contratación de los servicios de fusión a nombre de la reclamante. En ella, la interlocutora de la compañía informa de la fecha -el 14/01/2018- y le solicita el nombre y apellidos. Se escucha una voz, lejana y con sonido en eco, que facilita como datos identificativos el nombre y apellidos de la reclamante. La interlocutora de la compañía solicita el número de DNI y la contratante facilita el número del documento del que es titular la reclamante. La interlocutora de la compañía le informa de que ha contratado el servicio “Fusión”. Le pregunta si la cuota se pasa al cargo en la cuenta bancaria que ha facilitado a lo que la contratante responde afirmativamente. TERCERO: Los hechos expuestos en la reclamación quedan sometidos a las disposiciones del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), que es de aplicación efectiva desde el 25/05/2018. No es óbice para la aplicación del RGPD que la conducta presuntamente infractora se hubiera iniciado cuando estaba vigente la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). En tal sentido, se ha de indicar, por una parte, que la reclamante ha manifestado -y la reclamada lo ha confirmado en su respuesta al requerimiento de esta Agencia, en el expediente E/4627/2018, de fecha 10/09/2018- que solicitó a la reclamada el 25/04/2018 la baja de las líneas telefónicas que se habían dado de alta a su nombre integradas en el producto “FUSIÓN”. Por otra, que entre las facturas que la reclamada emitió a nombre de la reclamante figura una de 01/06/2018 (cuando ya era de aplicación efectiva el RGPD), factura ***FACTURA.3, por el servicio prestado tanto por la línea fija como por la línea móvil ***TELÉFONO.2. Con idéntica finalidad argumental cabe mencionar que en fecha 13/07/2018 la reclamada dirige una carta a la reclamante en la que le informa de que ha realizado las “gestiones oportunas a fin de cancelar la deuda existente correspondiente a las líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3”. Cabe mencionar asimismo el documento - captura de pantalla- remitido por la reclamada con su respuesta durante las actuaciones de investigación previa (expediente E/10190/2018) que tiene como rúbrica “Expediente de reclamación” y versa sobre la reclamación de fecha “12/07/2018” del tipo “facturación” por importe de 171,29 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 Los documentos citados evidencian que cuando el Reglamento (UE) 2016/679 era de efectiva aplicación (el 25/05/2018), la reclamada continuaba tratando los datos personales de la reclamante sin legitimación, asociados a una deuda a la que la reclamante era ajena derivada, entre otros, de los servicios prestados por la línea móvil ***TELÉFONO.2. Si bien la reclamada inició el tratamiento de los datos personales de la reclamante en enero de 2018 (fecha en la que se dieron de alta asociadas a sus datos personales las tres líneas controvertidas), por tanto cuando aún estaba vigente la LOPD, la conducta en la que se concreta la vulneración de la normativa de protección de datos personales se ha mantenido en el tiempo hasta, al menos, principios de julio de 2018, ya que, como reconoce la reclamada en su carta de 13 de julio, es entonces cuando procede a anular los importes que había facturado a la reclamante por las líneas que dio de alta a su nombre, entre las que se encontraba, como se ha indicado, la línea móvil ***TELÉFONO.2. La infracción de la que se responsabiliza a la reclamada participa de la naturaleza propia de las denominadas infracciones permanentes, en las que la consumación se proyecta en el tiempo más allá del hecho inicial y se extiende durante todo el periodo de tiempo en el que el dato o datos personales son objeto de tratamiento. De modo que, aunque en la fecha en la que se inició la conducta infractora la norma aplicable era la LOPD, la normativa que resulta aplicable es la que está vigente cuando la infracción se consuma. El Tribunal Supremo se ha pronunciado sobre la norma que procede aplicar en aquellos supuestos en los que las infracciones se prolongan en el tiempo y ha habido un cambio normativo mientras se comete la infracción. La STS de 17/04/2002 (Rec. 466/2000) aplicó una disposición que no estaba vigente en el momento inicial de comisión de la infracción, pero sí en los posteriores en los que continuaba la conducta infractora. La Sentencia examinó un supuesto que versaba sobre la sanción impuesta a una Jueza por incumplimiento de su deber de abstención en unas Diligencias Previas. La sancionada alegaba la no vigencia del artículo 417.8 de la LOPJ cuando ocurrieron los hechos. La STS consideró que la infracción se había venido cometiendo desde la fecha de la incoación de las Diligencias Previas hasta el momento en que la Jueza fue suspendida en el ejercicio de sus funciones por lo que esa norma sí era de aplicación. En idéntico sentido se pronuncia la SAN de 16/09/2008 (Rec.488/2006) CUARTO: Con fecha 29 de julio de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador frente a TELEFÓNICA DE ESPAÑA, S.A.U., (en adelante TDE o la reclamada), con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1. del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: Notificado el acuerdo de inicio, en fecha 26/08/2019 la reclamada presenta alegaciones y solicita el archivo del procedimiento sancionador por inexistencia de responsabilidad. En apoyo de su pretensión aduce los argumentos siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 - Comienza indicando que concurren una serie de circunstancias que justifican que TDE hubiera tratado los datos de la reclamante vinculados a la línea ***TELÉFONO.2. Se transcriben las circunstancias descritas por la reclamada:  - - - - “Con fecha 14 de enero de 2018, B.B.B. (titular de la numeración ***TELÉFONO.2) solicita la portabilidad de la línea a Movistar, con el objeto de integrar la línea en el contrato Fusión, se aporta grabación de la verificación de la portabilidad, la línea se instala en Movistar en un contrato prefusión a la espera de completar los trámites.  En la misma fecha D.ª A.A.A. [la reclamante] contacta con la compañía para formalizar el Contrato Fusión de las líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3 (incluyendo la línea de referencia)  Con fecha 8 de febrero de 2018, bajo mandato verbal D. B.B.B. y en nombre y autorización de su esposa [nombre de la reclamante] con DNI [ el DNI de la reclamante], solicita el cambio de datos bancarios” (El subrayado es de la AEPD). Incorpora escaneado el correo electrónico enviado el 23/08/2019 a la Subdirección de Inspección de la AEPD con este mensaje: “...en relación con el expediente sancionador PS/00114/2019 se aporta como prueba del consentimiento de las gestiones efectuadas sobre las líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3 a nombre de [la reclamante]. Grabación del verificador de la línea ***TELÉFONO.2 se adjuntan las siguientes grabaciones de voz. Grabación de la contratación de Fusión ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3. Grabación de cambio de cuenta bancaria del contrato Fusión”. Afirma que los cargos en la cuenta bancaria de la reclamante empezaron a generarse a partir del momento en que D. B.B.B. (en lo sucesivo D. B.B.B. o el suplantador) realiza el cambio de domiciliación “supuestamente bajo mandato verbal de su esposa”. Invoca la “apariencia de legitimidad con la que actuó” TDE ya que los datos facilitados por el suplantador eran veraces y existía una apariencia de que era la reclamante quien prestaba el consentimiento. A propósito de la prueba del consentimiento de la reclamante, carga que corresponde a la entidad reclamada, manifiesta que “Como es obvio, y así se desprende de lo expuesto en el expediente, es imposible que mi representada pueda acreditar el consentimiento de la denunciante sin la existencia de la grabación, pero sí se puede acreditar mediante la existencia del pago de facturas y acciones sobre la línea que sólo como titular puede realizar”. Insiste en la inexistencia de una infracción del artículo 6.1. RGPD y añade que “una prueba de que TDE ha actuado conforme a la norma” es “el engaño utilizado y la usurpación de datos por el suplantador”. Invoca el principio de presunción de inocencia, habida cuenta de que el suplantador se identificó ante TDE como el esposo de la reclamante y le facilitó correctamente todos los datos identificativos que se le pidieron (nombre, apellidos y DNI). Aduce que toda resolución sancionadora requiere la certeza C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 de los hechos imputados y la certeza del juicio de culpabilidad y que este último no concurre. Concluye por ello que ni procede imponer sanción alguna ni procedía tampoco, dadas las circunstancias, la apertura de este expediente sancionador. SEXTO: Con fecha 11/06/2020 se abre un período de prueba en el que se acuerda practicar las siguientes diligencias probatorias: Dar por reproducida la reclamación presentada y la documentación anexa a ella; los documentos y declaraciones obtenidos tanto en el trámite de solicitud informativa previa a la admisión a trámite de la reclamación, que se pidió a TELEFÓNICA MÓVILES, S.A.U., y a TELEFÓNICA DE ESPAÑA, S.A.U. (TDE), como los obtenidos en virtud del requerimiento informativo que la Inspección de Datos hizo a TDE y el Informe de actuaciones previas de Inspección. Documentos todos ellos que integran, respectivamente, el E/4627/2018 y el E/10190/2018. Asimismo, se dieron por reproducidas las alegaciones al acuerdo de inicio PS/00114/2019 presentadas por TDE y la documentación que a ellas acompaña. Se solicitó a la reclamada que siguientes: aportara al procedimiento los documentos “3.1.- La grabación sonora - audible- de la conversación mantenida entre esa entidad y D. B.B.B. en fecha 08/02/2018 en la que -según tiene declarado TDE- esa persona, “en nombre y autorización de su esposa D.ª [la reclamante] con DNI ****, solicita el cambio de datos bancarios”. En el escrito de notificación de apertura de prueba se informaba a TDE que la grabación que dijo aportar con sus alegaciones al acuerdo de inicio, en tanto era inaudible, resultaba inexistente a efectos de prueba. 3.2.- Documento -cualquiera que sea el soporte en el que conste- que acredite que la reclamante bien consintió que TDE tratara sus datos bancarios o bien otorgó su representación a D. B.B.B. a efectos de que en su nombre facilitara a TDE sus datos bancarios para la domiciliación de las facturas derivadas de unos contratos que la reclamante no celebró. 3.3.- El documento que acredite que el titular de la línea móvil ***TELÉFONO.2 -B.B.B. - quien había solicitado la portabilidad de esta línea, de la que era titular, desde Vodafone a “MOVISTAR” -como lo acredita la grabación de la empresa verificadora que la reclamada ha remitido a esta Agencia- consintió el cambio de titularidad de la línea a nombre de la reclamante y ésta prestó asimismo su consentimiento a dicho cambio de titularidad.” A. La reclamada evacuó el trámite de prueba en fecha 11/06/2020 y respondió en los siguientes términos: 1.- Respecto a la prueba solicitada en el punto 3.1, TDE respondió que la “mencionada grabación resultaba y resulta audible”. Aporta la grabación y explica cómo acceder al documento sonoro. En el anexo aportado incluye en el punto 1 la denominada “Grabación solicitud cambio datos bancarios” que pasamos a reproducir. Desde el segundo 00:18,25 se escucha: “-Con fecha de hoy, día 8 de febrero de 2018 procedemos a grabar el cambio de cuenta de cargo que usted solicita. Díganos el número de línea del que quiere hacer la solicitud. - ***TELÉFONO.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 -Sí -Eh...***TELÉFONO.1 -Dígame por favor un nombre, apellidos y DNI del titular. -Perdona, perdona, te di el número mal. -Es ***TELÉFONO.1 pero el resto de números los ha dicho bien. - Ah, vale, de acuerdo. -Efectivamente. -Indique el nombre, apellidos y DNI del titular de la línea - Sí, A.A.A. - ¿DNI? - ***NIF.1 - Dígame su nombre, apellidos y DNI - B.B.B. -Sí -***NIF.2 - ¿El parentesco que tiene usted con el titular? -Marido -Perfecto -Díganos el número de cuenta bancaria de cargo en la que quiere hacer, solicita, el cambio -XXXX XXXX XXXXXXXX XXXX - ¿Nos autoriza a que se efectúen los cargos de tipo recurrente en esta cuenta bancaria? - Sí -Procedemos a hacer la modificación. Damos por finalizada la grabación...” 2.- Respecto a la prueba solicitada en el punto 3.2 del escrito de notificación de pruebas, la reclamada respondió en los siguientes términos: “En este sentido, se adjunta de nuevo la grabación en la que Dª. A.A.A. contacta con la compañía para formalizar el contrato Fusión de las líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3, en el documento anexo Nº 1 y como epígrafe 2.2. En la misma grabación la Sra. A.A.A. autoriza expresamente la realización de los cargos en la cuenta bancaria indicada por la misma, tal como recoge el Acuerdo de inicio del procedimiento sancionador de referencia.” (El subrayado es de la AEPD) El anexo aportado por TDE con la respuesta a las pruebas, punto 2.2., incluye un documento sonoro con esta rúbrica: “Documento, cualquiera que sea el soporte en el que conste que acredite que la reclamante consintió que TDE tratara sus datos bancarios” Transcribimos el documento sonoro. En el segundo 00:18,65 se escucha: <<-Mire, con fecha de hoy, 14 de enero de 2018, hacemos la contratación con MOVISTAR. ¿Nos puede indicar su nombre y dos apellidos? -Sí, A.A.A. - ¿Y su DNI? -***NIF.1 - Vale, usted solicitó contratar lo que es la fusión plus, ¿de acuerdo?, por una cuota de 70,74 incluido (¿?), ¿de acuerdo? Aceptó recibir nuestra factura en correo electrónico, que también la puede recibir en papel. Ha sido informada de todas las condiciones en Movistar.es/contratos. ¿Nos autoriza a efectuar los cargos indicados en su cuenta bancaria, que nos ha indicado? ¿Conoce usted las condiciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 servicio? -Sí -Vale, ya está la grabación.>> 3.-Respecto a la prueba solicitada a TDE en el punto 3.3. del escrito de notificación de prueba que consistía en que acreditara que D. B.B.B. había consentido realizar un cambio de titularidad de la línea ***TELÉFONO.2 a nombre de la reclamante y que, la reclamante, había consentido dicho cambio de titularidad-, respondió en los siguientes términos, remitiéndose a la respuesta a la pregunta del punto 3.2.: “En el documento Anexo Nº1 y como epígrafe 2.2 se adjunta la grabación en la que D.ª A.A.A. contacta con compañía para formalizar , el contrato Fusión de las líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3. Asimismo, en el Anexo Nº1 y en el epígrafe 2.1. se adjunta el cambio de cuenta de cargo de las mencionadas líneas por parte de D. B.B.B. En este sentido, interesa poner de relieve que la contratación de la línea móvil ***TELÉFONO.2 con tarifa prefusión tenía por objeto la integración de la mencionada línea en un contrato Fusión cuya línea principal era la ***TELÉFONO.1 y cuya contratación se llevó a cabo por quien se identificó como A.A.A. en la grabación aportada como Anexo Nº 1 epígrafe 2.2.” B. El resultado de las pruebas practicas fue el siguiente: 1º Pese a que se le requirió en fase de prueba, TDE no ha aportado ninguna grabación en la que la reclamante, o quien venía suplantando su identidad, consintiera cambiar a su nombre la titularidad de la línea número ***TELÉFONO.2 que pertenecía a D. B.B.B. y que -según ha declarado la operadora- fue objeto de portabilidad desde el operador VODAFONE en la misma fecha de 14/01/2018 en la que supuestamente la reclamante celebró el contrato FUSION. 2º En la grabación de la conversación mantenida el 14/01/2018 entre TDE y la persona que se identificó con el nombre, dos apellidos y NIF de la reclamante y consintió la contratación del producto Fusión, no se mencionan los números de línea objeto del contrato Fusión ni los veinte dígitos de la cuenta bancaria. 3º En la grabación de la conversación mantenida el 08/02/2018 entre TDE y D. B.B.B. en la que éste solicita cambiar la cuenta bancaria de domiciliación de las facturas del producto Fusión, el número de cuenta que comunica a la operadora pertenece a la reclamante. Es la cuenta bancaria de la reclamante tal y como ésta declaró en su denuncia policial. Es en esa cuenta en la que MOVISTAR le giró las facturas, dos cargos, por productos que no había contratado. 4º En la grabación de la conversación mantenida el 08/02/2018 entre TDE y D. B.B.B. en la que éste solicita llevar a cabo un cambio de los datos bancarios de domiciliación de las facturas, no consta grabación del consentimiento de la titular para que sus datos bancarios fueran tratados con tal finalidad. Tampoco consta, ni por parte de la operadora ni por parte de D. B.B.B., una declaración relativa a que estuviera actuando en nombre y representación de la supuesta titular, esto es, de la reclamante o en virtud de mandato verbal (tal y como sostiene TDE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 SÉPTIMO: El Real Decreto 463/2020, “por el que se declara el estado de alarma para la gestión de la crisis sanitaria ocasionada por el Covid 19”, publicado en el BOE el 14/03/2020, en su Disposición Adicional tercera, “Suspensión de plazos administrativos”, dispuso: “1. Se suspenden términos y se interrumpen los plazos para la tramitación de los procedimientos de las entidades del sector público. El cómputo de los plazos se reanudará en el momento en que pierda vigencia el presente real decreto o, en su caso, las prórrogas del mismo. 2. La suspensión de términos y la interrupción de plazos se aplicará a todo el sector público definido en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.” Esta suspensión se alzó con fecha 01/06/2020. El Real Decreto 537/2020, publicado en el BOE el 23/05/2020, establece en el artículo 9: “Plazos administrativos suspendidos en virtud del Real Decreto 463/2020, de 14 de marzo”. “Con efectos desde el 1 de junio de 2020, el cómputo de los plazos administrativos que hubieran sido suspendidos se reanudará, o se reiniciará, si así se hubiera previsto en una norma con rango de ley aprobada durante la vigencia del estado de alarma y sus prórrogas” (El subrayado es de la AEPD) SEXTO: El Real Decreto 463/2020, “por el que se declara el estado de alarma para la gestión de la crisis sanitaria ocasionada por el Covid 19”, publicado en el BOE el 14/03/2020, en su Disposición Adicional tercera, “Suspensión de plazos administrativos”, dispuso: “1. Se suspenden términos y se interrumpen los plazos para la tramitación de los procedimientos de las entidades del sector público. El cómputo de los plazos se reanudará en el momento en que pierda vigencia el presente real decreto o, en su caso, las prórrogas del mismo. 2. La suspensión de términos y la interrupción de plazos se aplicará a todo el sector público definido en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas.” Esta suspensión se alzó con fecha 01/06/2020. El Real Decreto 537/2020, publicado en el BOE el 23/05/2020, establece en el artículo 9: “Plazos administrativos suspendidos en virtud del Real Decreto 463/2020, de 14 de marzo”. “Con efectos desde el 1 de junio de 2020, el cómputo de los plazos administrativos que hubieran sido suspendidos se reanudará, o se reiniciará, si así se hubiera previsto en una norma con rango de ley aprobada durante la vigencia del estado de alarma y sus prórrogas” (El subrayado es de la AEPD) La fecha de finalización del procedimiento sancionador, fecha en la que debe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 haberse dictado y notificado la resolución es el día 16/07/2020. Se deben adicionar a la fecha en la que se alzó la suspensión de plazos (01/06/2020) los días naturales que restaban en la fecha en la que se tuvo efecto la suspensión para finalizar el plazo de duración máxima del procedimiento (prevista para el 29/04/2020) Se debe subraya que la adición de días tras el levantamiento de la suspensión de plazos es de los días naturales que mediaron entre la fecha en la que tuvo efecto la suspensión y la fecha en la que el procedimiento debía haber terminado de no haberse producido la citada suspensión. Matización importante en tanto que en la propuesta de resolución se indicó erróneamente que el procedimiento finalizaba el día 13/07/2020 como consecuencia de haber adicionado únicamente los días hábiles y no los días naturales. OCTAVO: La propuesta de resolución se firmó el 22/06/2020 y se notificó electrónicamente en la misma fecha. La aceptación de la notificación electrónica por TDE, según consta acreditado en el expediente, tuvo lugar el 26/06/2020 por lo que el plazo de diez días hábiles otorgado para formular alegaciones finalizó el 10/07/2020. A fecha 15/07/2020 no se tiene noticia de que la reclamada haya formulado alegaciones. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La reclamante, titular del DNI ***NIF.1, cuya copia obra en el expediente, manifiesta que TDE ha dado de alta a su nombre varias líneas telefónicas que ella no ha contratado y le ha pasado al cobro varias facturas relacionadas con esas líneas en una cuenta bancaria de su titularidad en la entidad CAIXABANK. SEGUNDO: La reclamante ha aportado la copia de las denuncias que presentó en la Comisaría de Policía por estos hechos a. En la primera, de fecha 25/04/2018 (número de Atestado 3956/2018) relata que observó que en su cuenta bancaria con numeración ZZZZ ZZZZ ZZ ZZZZZZZZZZ, MOVISTAR le había cargado dos recibos por los importes, facturas y fechas siguientes: Factura ***FACTURA.1, de fecha 01/03/2018, por importe de 83.91 euros. Factura ***FACTURA.2, de fecha 01/04/2018, por importe de 71,72 euros. Que presentó reclamación telefónica ante MOVISTAR que le informó que en enero de 2018 se realizó una contratación telefónica a su nombre del producto “Movistar Fusión” asociado a los números ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3. Niega haber realizado la contratación, haberla autorizado o haber facilitado su cuenta bancaria. Añade que la reclamada le ha confirmado que la contratación se realizó por otra persona llamada B.B.B. que dijo ser su marido. Que casualmente su exmarido, del que está divorciada hace más de diez años, se llama B.B.B.. Que las facturas están domiciliadas en una localidad de la isla de ***LOCALIDAD.2 por lo que supone que el servicio contratado se disfruta en ese lugar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 b. Denuncia de 04/05/2018 (Atestado 4239/2018), ampliatoria del Atestado 3956/2018, en la que manifiesta que el 27/04/2018 dio de baja las líneas fraudulentas y que, pese a ello, ha recibido una nueva factura por el consumo efectuado entre el 18/03/2018 y el 17/04/2018 por importe de 75,82 euros. c. Denuncia de 11/06/2018 (Atestado 5477/2018), ampliatoria del Atestado 3956/2018, en la que explica que dio de baja las líneas fraudulentas el 27/04/2018 y que con fecha 01/06/2018 ha recibido una nueva factura por el consumo efectuado por las líneas fraudulentas en el periodo comprendido entre el 18/04/2018 y el 17/05/2018. TERCERO: TDE ha aportado la grabación, de fecha 14/01/2018, en la que una persona que se identifica con el nombre, dos apellidos y NIF de la reclamante, otorga su consentimiento a la contratación del producto Fusión. En la grabación de la conversación no se identifican en ningún caso los números de las líneas telefónicas para las que se contrata el servicio Fusión. La conversación objeto de esta grabación se reproduce íntegramente en el Antecedente sexto. CUARTO: TDE manifestó en el curso de las actuaciones de investigación previa que, según la información que obraba en sus sistemas, las líneas de teléfono ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3, cuyos servicios se comercializan a través del producto Fusión, se dieron de alta a nombre de la reclamante en las siguientes fechas: el 22/01/2018 la línea ***TELÉFONO.1 y el 14/01/2018 las dos últimas. Y añade que se dieron de baja la primera, línea fija, el 01/05/2018 y las líneas móviles el 25/04/2018. QUINTO: Obran en el expediente capturas de pantalla procedentes de los sistemas de TDE relacionadas con el producto contratado a nombre de la reclamante. En una de ellas, con la identificación “venta-contratación” se alude a un “alta de fijo destino fusión + futbol con porta de móvil ***TELÉFONO.2 y alta adicional ***TELÉFONO.3” SEXTO: TDE ha declarado que la línea móvil ***TELÉFONO.2 era titularidad de D. B.B.B. que solicitó la portabilidad a MOVISTAR el 14/01/2018. Es en ese día -ver Hecho probado Tercero- cuando supuestamente la reclamante contrató el producto Fusión. SÉPTIMO: Pese a que se solicitó en fase de prueba, TDE no ha aportado ningún documento que acredite que una vez portada la línea ***TELÉFONO.2 desde VODAFONE a MOVISTAR la reclamante consintió cambiar la titularidad de la línea a su nombre, toda vez que figuraba a nombre de D. B.B.B. OCTAVO: TDE ha aportado la grabación, de fecha 14/01/2018, en la que una persona que se identifica con el nombre, dos apellidos y NIF de la reclamante, otorga su consentimiento a la contratación del producto Fusión. En el curso de la conversación no se facilitan los datos de ninguna cuenta bancaria. La única referencia a una cuenta bancaria es ésta:” ¿Nos autoriza a efectuar los cargos indicados en su cuenta bancaria, que nos ha indicado?”. La conversación objeto de esta grabación se reproduce íntegramente en el Antecedente sexto. NOVENO: El número de cuenta bancaria en el que TDE domicilió a nombre de la reclamante las facturas del producto Fusión lo facilitó a TDE D. B.B.B. mediante una llamada en la que solicitó un cambio en la domiciliación de los datos bancarios del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 producto Fusión dado de alta a nombre de la reclamante. Se reproduce la grabación aportada por TDE: “-Con fecha de hoy, día 8 de febrero de 2018 procedemos a grabar el cambio de cuenta de cargo que usted solicita. Díganos el número de línea del que quiere hacer la solicitud. - ***TELÉFONO.1 -Sí -Eh...***TELÉFONO.1 -Dígame por favor un nombre, apellidos y DNI del titular. -Perdona, perdona, te di el número mal. -Es ***TELÉFONO.1 pero el resto de números los ha dicho bien. - Ah, vale, de acuerdo. -Efectivamente. -Indique el nombre, apellidos y DNI del titular de la línea - Sí, A.A.A. - ¿DNI? - ***NIF.1 - Dígame su nombre, apellidos y DNI - B.B.B. -Sí -***NIF.2 - ¿El parentesco que tiene usted con el titular? -Marido -Perfecto -Díganos el número de cuenta bancaria de cargo en la que quiere hacer, solicita, el cambio -XXXX XXXX XXXXXXXX XXXX - ¿Nos autoriza a que se efectúen los cargos de tipo recurrente en esta cuenta bancaria? - Sí -Procedemos a hacer la modificación. Damos por finalizada la grabación...” DÉCIMO: TDE ha manifestado: “Por lo cual a partir de ese momento es cuando empiezan a generarse cargos en la cuenta de la Sra. A.A.A., tras el cambio de datos bancarios realizado por D. B.B.B. supuestamente bajo mandamiento verbal de su esposa”. (Alegaciones al acuerdo de inicio, Alegación primera, folio 2) UNDÉCIMO: Obra en el expediente la copia de cuatro facturas con el anagrama de MOVISTAR y la indicación “Fusión” emitidas a nombre de la reclamante: Factura ***FACTURA.1, de fecha 01/03/2018, por importe de 83.91 euros; factura ***FACTURA.2, de 01/04/2018, por importe de 71,72 euros; factura ***FACTURA.4, de 01/05/2018, por 75.82 euros y la ***FACTURA.3, de 01/06/2018 de 23,81 euros. En todas ellas se incluye esta información: En el encabezado izquierdo, debajo de la fecha y el número de factura: “Línea fija: ***TELÉFONO.1Línea móvil: ***TELÉFONO.2”. Debajo, el nombre y los dos apellidos de la reclamante y su número de DNI. Domiciliación bancaria en la C.A. y Pensiones de Barcelona- La Caixa. DUODÉCIMO: TME reconoció en el escrito de respuesta a la solicitud informativa previa al acuerdo de admisión a trámite de la reclamación, que el 25/04/2018 la reclamante solicitó la baja de las tres líneas que niega haber contratado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD y en los art. 47 y 48.1 de LOPDGDD. II El RGPD dedica el artículo 5 a los principios que han de regir el tratamiento de los datos personales, precepto que dispone: “1. Los datos personales serán:
  4. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>) (…) 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD, “Licitud del tratamiento”, concreta en el apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño(...)” El artículo 4 del RGPD, “Definiciones”, ofrece en el apartado 2 un concepto legal de “tratamiento” como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjunto de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo, interconexión, limitación, supresión o destrucción”. Asimismo, el artículo 4 del RGPD, apartado 1, entiende por “datos personales” “toda información sobre una persona física identificada o identificable (<<el interesado>>); se considerará persona física identificable toda persona cuya identidad pueda determinarse directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” La infracción de la que se responsabiliza a la reclamada está prevista en el artículo 83.5 del RGPD: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” A su vez, la LOPDGDD en su artículo 72.1. califica de infracción muy grave “
  11. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679” y añade que esta infracción prescribe a los tres años. III Se atribuye a TDE una infracción del principio de licitud, en particular del artículo 6.1 RGPD, habida cuenta de que trató datos personales de la reclamante -nombre, apellidos, NIF y datos bancarios- vinculados a la línea móvil ***TELÉFONO.2 cuya contratación a nombre de la reclamante no consta acreditada. Esto, pese a haber aportado una grabación en la que una persona que se identifica con el nombre, apellidos y NIF de la reclamante otorga el consentimiento a la contratación del producto Fusión. La línea móvil era titularidad de D. B.B.B. por lo cual respecto a esta línea debía haberse probado que la reclamante había autorizado un cambio de titularidad a su nombre previo al momento de la grabación en la que supuestamente la reclamante consiente la contratación del producto Fusión. Como señalaremos más adelante, la entidad reclamada no obró en el presente asunto con la diligencia mínima exigible a fin de dar cumplimiento a las obligaciones que le impone el RGPD. A. Ha quedado acreditado en el expediente que TDE, en su condición de prestadora del servicio o producto Fusión que comercializa, trató los datos personales de la reclamante vinculados a tres líneas: ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3. La entidad, a fin de acreditar que estaba legitimada para el tratamiento de sus datos personales vinculados a la contratación del producto Fusión ha aportado una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 grabación en la que alguien se identifica con el nombre dos apellidos y NIF de la reclamante y presta el consentimiento a la contratación de ese servicio. Sin perjuicio de destacar una vez más -ya se indicó en el acuerdo de inicio- que el sonido de la grabación es lejano y extraño, se ha de subrayar que en la grabación en ningún caso se identifican cuáles eran las líneas telefónicas objeto del contrato del producto Fusión al que, presuntamente, la reclamante prestó el consentimiento. La grabación está fechada -así se escucha al inicio- el día 14/01/2018. El producto Fusión, tal y como consta en las facturas emitidas por TDE, incluía la línea ***TELÉFONO.2. Esta línea pertenecía a D. B.B.B. y según TDE se había portado a MOVISTAR desde VODAFONE el mismo día 14/01/2018. Es decir, el mismo día en el que la reclamante, supuestamente, prestó el consentimiento a la contratación a su nombre de un producto que incluía una línea fija y dos móviles. Extremo que debe ponerse en relación con las fechas en las que según TDE se dieron de alta a nombre de la reclamante los servicios vinculados a las líneas: la línea fija se habría dado de alta el 22/01/2018 en tanto que la línea móvil que perteneció a D. B.B.B. se dio de alta a nombre de la reclamante el mismo 14/01/2018. Según la información proporcionada por la reclamada el día 14/01/2018 la línea móvil ***TELÉFONO.2 se portó por su titular de VODAFONE a MOVISTAR. Pero para que pudiera integrarse en el producto Fusión supuestamente contratado por la reclamante necesariamente había de haberse llevado a cabo un cambio de titularidad desde el antiguo titular -D. B.B.B. – a nombre de la reclamante. TDE, pese a que así se solicitó por la instructora en fase de prueba, no aportó ningún documento en el que la reclamante prestara su consentimiento al cambio a su nombre de la titularidad de la línea móvil precitada. La entidad se limitó a responder a la prueba solicitada reiterando argumentos relacionados con las dos únicas grabaciones aportadas. A la petición de que acreditara documentalmente que la reclamante había consentido que la línea móvil de la que era titular D. B.B.B. figurase a su nombre respondió lo siguiente: “En el documento Anexo Nº1 y como epígrafe 2.2 se adjunta la grabación en la que D.ª A.A.A. contacta con compañía para formalizar , el contrato Fusión de las líneas ***TELÉFONO.1, ***TELÉFONO.2 y ***TELÉFONO.3. Asimismo, en el Anexo Nº1 y en el epígrafe 2.1. se adjunta el cambio de cuenta de cargo de las mencionadas líneas por parte de D. B.B.B. En este sentido, interesa poner de relieve que la contratación de la línea móvil ***TELÉFONO.2 con tarifa pre fusión tenía por objeto la integración de la mencionada línea en un contrato Fusión cuya línea principal era la ***TELÉFONO.1 y cuya contratación se llevó a cabo por quien se identificó como A.A.A. en la grabación aportada como Anexo Nº 1 epígrafe 2.2.” El operador beneficiario que tuvo que haber gestionado la portabilidad de la línea móvil ***TELÉFONO.2 desde VODAFONE era TELEFÓNICA MÓVILES ESPAÑA, S.A.U., a quien esta Agencia se dirigió en el marco del E/4627/2018, en escrito recibido por la operadora el 20/08/2018 con el que se le daba traslado de la reclamación. Al citado requerimiento respondió esta entidad que advirtió con carácter previo que la reclamación se dirigía contra MOVISTAR, nombre comercial bajo el que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21 operaban tanto ella como TDE y que era TDE “la que presta el servicio de telecomunicaciones al que se refiere la mencionada reclamación”. TDE, en su condición de responsable del tratamiento de los datos de la reclamante como titular de las diversas líneas para las que supuestamente había contratado el producto “Fusión” que esa operadora comercializa -entre ellas la línea móvil de la que había sido operador beneficiario TME- debía de estar en condiciones de acreditar que la línea móvil ***TELÉFONO.2 era titularidad de la reclamante en esa fecha. La línea fue portada en beneficio de TME por D. B.B.B. en la misma fecha en la que supuestamente la reclamante contrata telefónicamente el producto Fusión, por lo que era necesario que la reclamante consintiera un cambio de titularidad a su nombre previo a la contratación de un producto o servicio que integraba, entre otras, la referida línea. Extremo sobre el que TDE nada ha acreditado. El RGPD se refiere en el artículo 5.2 al principio de responsabilidad proactiva a tenor del cual el responsable del tratamiento no sólo responde del cumplimiento de los principios enumerados en el artículo 5.1, por lo que aquí interesa el de licitud, sino que es también “capaz de demostrarlo”. A propósito de la prueba de que la reclamante había consentido un cambio de titularidad a su nombre de la línea móvil controvertida, carga que corresponde a la entidad reclamada, TDE manifestó en sus alegaciones al acuerdo de inicio: “Como es obvio, y así se desprende de lo expuesto en el expediente, es imposible que mi representada pueda acreditar el consentimiento de la denunciante sin la existencia de la grabación, pero sí se puede acreditar mediante la existencia del pago de facturas y acciones sobre la línea que sólo como titular puede realizar”. (El subrayado es de la AEPD) La primera denuncia policial es del 25/04/2018, cuando la reclamada ha pasado el segundo cargo a la cuenta bancaria de la reclamante. Para entonces, la afectada no sólo ha presentado denuncia policial, sino que antes ha realizado las gestiones pertinentes ante la operadora, ha obtenido una copia de las facturas y ha intentado sin éxito (así consta en la denuncia presentada en la Policía) que TDE le facilitara la grabación de su pretendida contratación. Tampoco se puede aceptar que exista alguna acción de la reclamante en la que ésta se conduzca como la supuesta titular de la línea que no fuera otra que la de gestionar su baja con posterioridad a haber presentado ante la operadora las reclamaciones por suplantación de identidad. Pese a que incumbe a TDE la carga de la prueba de que la reclamante consintió suceder en la titularidad de la línea móvil ***TELÉFONO.2 (línea controvertida) al anterior titular, D. B.B.B., y de que la reclamada no ha aportado ninguna prueba al respecto, aduce en su defensa la inexistencia de responsabilidad fundada en que actuó con arreglo a Derecho y en que ha sido víctima del engaño del suplantador que utilizó los datos personales de la reclamante. Sin embargo, al margen del engaño al que el suplantador hubiera podido conducirle, lo cierto es que la reclamada no actuó con la diligencia que las circunstancias del caso exigían. Como se ha indicado, no obra en el expediente ningún documento que pruebe que la reclamante -o bien el tercero que hubiera suplantado su identidad- consintió el cambio de titularidad a su nombre de la línea móvil C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21 ***TELÉFONO.2 de la que era titular D. B.B.B., cuyo servicio prestaba VODAFONE y que fue portada a MOVISTAR. La grabación que obra en el expediente en la que quien se identifica con los datos personales de la reclamante contrata con TDE el producto Fusión en fecha 14/01/2018, no sirve de base legitimadora del tratamiento de los datos personales de la reclamante asociados a la línea ***TELÉFONO.2 en el que se concreta la conducta infractora. Como se ha indicado la conducta infractora se materializa en el tratamiento de los datos personales de la reclamante vinculados, en particular, a la línea móvil precitada. En tal sentido nos estamos refiriendo a una línea que ya existía -de hecho, la única que existe al tiempo de celebrar el contrato Fusión- y que en esa misma fecha es portada de VODAFONE a MOVISTAR por su antiguo titular. Para que tal línea se integrara en el contrato Fusión suscrito a nombre de la reclamante con TDE previamente debió de gestionarse un cambio de titularidad. El consentimiento de la reclamante para ese cambio de titularidad de la línea móvil, para que figurase a su nombre, era un presupuesto para la contratación del producto Fusión por quien se identificó ante la operadora con los datos personales de la reclamante (nombre, apellidos y NIF) operara como base legitimadora del tratamiento (apartado b, del artículo 6.1 RGPD) no sólo respecto a las restantes líneas sino también respecto a la línea controvertida. La ausencia de toda documentación facilitada por TDE que demuestre que obró con arreglo a las exigencias que le impone el RGPD es exponente de su falta de diligencia e impide que, como pretende, se declare la inexistencia de responsabilidad por ausencia del elemento subjetivo de la infracción. B. La documentación que obra en el expediente demuestra también que TDE trató los datos bancarios de la reclamante vulnerando el principio de licitud. El tratamiento del dato de la cuenta bancaria de la afectada en La Caixa está plenamente acreditado. Fueron precisamente los cargos recibidos en su cuenta los que le llevaron a formular una reclamación ante TDE y posteriormente a presentar denuncia ante la Policía. TDE ha esgrimido en su defensa que en la grabación de 14/01/2018 la reclamante le facilitó sus datos bancarios. Sin embargo, en la grabación aportada por TDE (ver Hechos Probados y Antecedente Sexto) no se facilita ninguna cuenta bancaria. Únicamente le pide su consentimiento para domiciliar los pagos en la cuenta bancaria que ya obra en poder de la operadora. Los datos de la cuenta bancaria titularidad de la reclamante en La Caixa los facilitó un tercero, D. B.B.B., varios días después de la fecha de la grabación de la contratación y solicitando a tal fin efectuar un “cambio” en los datos bancarios que ya obraban en poder de la operadora. Por otra parte, TDE ha reconocido en sus alegaciones al acuerdo de inicio que a partir del del momento en que D. B.B.B. realiza el cambio de domiciliación “supuestamente bajo mandato verbal de su esposa” empezaron a remitirle cargos a la reclamante. En la grabación aportada por TDE en la que D. B.B.B. gestiona un cambio de la cuenta bancaria para el cobro de las facturas del producto Fusión esta persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 proporciona como cuenta de domiciliación de las facturas la cuenta bancaria de la que es titular la reclamante. Sin embargo, en la grabación no se escucha en ningún momento a D. B.B.B. manifestar ni al teleoperador de TDE preguntarle si estaba interviniendo en nombre y representación de la afectada, de la que dice es su esposa, tal y como alega TDE en su defensa. La reclamada invoca que, como evidencia la grabación, el tercero, D. B.B.B., se identificó como esposo de la reclamante y facilitó los datos personales de ésta (nombre, apellidos y NIF) correctamente. A juicio de TDE es exponente de que obró con la diligencia que las circunstancias del caso exigían, por lo que el tratamiento de los datos bancarios de la reclamante, por más que la conducta resulte antijurídica no resulta culpable y no cabe exigir responsabilidad administrativa sancionadora. Frente a este argumento cabe recordar el criterio mantenido reiteradamente por la Sala de lo Contencioso Administrativo de la Audiencia Nacional cuando los datos personales -como en este caso sucede con los datos bancarios de la reclamante, pues merced a una llamada telefónica que efectúa D. B.B.B. a TDE días después de la supuesta contratación cuya grabación ha aportado la reclamada, actuando en su propio nombre e identificándose como esposo de la reclamante, cambia los datos de domiciliación bancaria y facilita la cuenta bancaria de la reclamante- se facilitan por parientes o allegados del titular. Resulta de la exposición precedente que TDE vulneró el artículo 6.1. RGPD al haber tratado los datos personales de la reclamante -nombre, dos apellidos y NIFasociados a la línea móvil ***TELÉFONO.2 así como sus datos bancarios, pues no ha aportado ninguna prueba de su legitimación para el tratamiento efectuado. El tratamiento de los datos de la reclamante por TDE sin legitimación, vinculados a la línea móvil mencionada, se mantuvo hasta el 13/07/2018, fecha de la carta que dirigió a la reclamante informándole de la cancelación de las facturas emitidas a su nombre por las tres líneas asociadas a sus datos, entre las que figuraba la línea móvil portada, y, en todo caso, hasta la fecha de la última factura emitida, de 01/06/2018. La actuación de TDE contraria al artículo 6.1. RGPD es subsumible en el artículo 83.5.
  12. a)del citado Reglamento 2016/679. IV En la determinación de la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD. A su vez, conforme al artículo 83.2.k RGPD podrán tomarse en consideración también las circunstancias descritas en el artículo 76 LOPDGDD. A efectos de fijar el importe de la sanción de multa que corresponde imponer a la reclamada como responsable de una infracción tipificada en el artículo 83.5.
  13. a)del RGPD, se aprecia la concurrencia en calidad de agravantes de las siguientes circunstancias modificativas de la responsabilidad: El alcance del tratamiento (artículo 83.2.a, RGPD) pues los datos personales de la reclamante que han sido objeto de tratamiento sin legitimación para ello fueron varios: el nombre y dos apellidos, NIF y datos bancarios. La evidente vinculación entre la actividad empresarial de TDE y el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 de datos personales de clientes o de terceros (artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD) El carácter continuado de la infracción (artículo 83.2.k, del RGPD en relación con el artículo 76.2.a, de la LOPDGDD) Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: SANCIONAR a TELEFONICA DE ESPAÑA, S.A.U., con NIF A82018474, por una infracción del Artículo 6.1. del RGPD, tipificada en el artículo 83.5.
  14. a)del RGPD, con multa administrativa de 55.000 € (cincuenta y cinco mil euros). SEGUNDO: NOTIFICAR la presente resolución a TELEFONICA DE ESPAÑA, S.A.U. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo 98.1.
  15. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 Finalmente, se señala que conforme a lo previsto en el art. 90.3
  16. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.