← España

PS-00130-2018

1/8 Procedimiento Nº PS/00130/2018 RESOLUCIÓN: R/01606/2018 En el procedimiento sancionador PS/00130/2018, instruido por la Agencia Española de Protección de Datos a la entidad VODAFONE ESPAÑA, S.A.U., vista la denuncia presentada por D. A.A.A. (en adelante, el reclamante) por propia iniciativa y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha de 4/4/17 tiene entrada escrito de denuncia presentado por D. A.A.A. (en lo sucesivo el denunciante), manifestando que, en el momento de solicitar un préstamo en una entidad bancaria, éste le fue denegado al estar sus datos informados en un fichero de morosidad. Expone que esa incorporación realizada por VODAFONE ESPAÑA, S.A.U. (en lo sucesivo la denunciada), es improcedente porque no es deudor de la entidad, habiendo interpuesto una demanda en sede judicial contra la misma en reclamación de 706,59€. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad VODAFONE ESPAÑA, S.A.U., teniendo conocimiento de que: - Con fecha 18/7/17 tiene entrada escrito de alegaciones de la entidad denunciada manifestando lo siguiente: * Que los datos del denunciante han estado incluidos en el fichero de solvencia Badex en dos ocasiones: desde 21/8/16 hasta 2/1/17 por importe de 554.26€; y posteriormente se incluyeron de nuevo el 12/3/17 hasta 9/4/17 por el mismo importe ya que desde el Departamento de Cobros no se tuvo constancia de la existencia de una reclamación judicial en curso. * Que los datos del denunciante se excluyeron del fichero de solvencia Badex el 9/4/17 y la deuda que se mantenía pendiente ha sido cancelada y sus datos excluidos. * Se aporta por la entidad copia de la sentencia, condenatoria para la denunciada, de fecha 12/12/16. TERCERO: Con fecha 02/04/18, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad VODAFONE, por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), tipificada como grave en los artículos 44.3.c), respectivamente, de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros cada una, de acuerdo con el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 45.2 de dicha Ley Orgánica., argumentado, en esencia, lo siguiente: CUARTO: Notificado el acuerdo de inicio, no se han presentado alegaciones al mismo por parte de la entidad denunciada. QUINTO: Se apertura periodo de pruebas con la incorporación de la documentación generada en las actuaciones previas de inspección E/2468/2017 HECHOS PROBADOS 1º Que se ha aportado por Vodafone copia de la sentencia, condenatoria para dicha entidad de fecha 12/12/16. 2º Consta que los datos del denunciante han estado incluidos en el fichero de solvencia Badex en dos ocasiones: desde 21/8/16 hasta 2/1/17 por importe de 554.26€; y posteriormente se incluyeron de nuevo el 12/3/17 hasta 9/4/17 por el mismo importe ya que desde el Departamento de Cobros no se tuvo constancia de la existencia de una reclamación judicial en curso. 3º Consta que los datos del denunciante se excluyeron del fichero de solvencia Badex el 9/4/17 y la deuda que se mantenía pendiente ha sido cancelada y sus datos excluidos. 4º Consta certificación del servicio de Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, acreditando que a través de dicho servicio se envió la notificación de Referencia: ***REFERENCIA.1, por la Agencia Española de Protección de Datos (AEPD), siendo el titular VODAFONE ESPAÑA SA ***NIF.1, con el siguiente resultado: Fecha de puesta a disposición: 05/04/2018 05:00:08 Fecha de aceptación: 05/04/2018 12:31:15 5º No constan alegaciones al Acuerdo de Inicio. 6º Se apertura periodo de pruebas con la incorporación de la documentación generada en las actuaciones previas de inspección E/2468/2017. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento La Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II El contenido del derecho a la protección de datos radica, en palabras del Tribunal Constitucional (STC 292/2000), en un poder de disposición y de control sobre los datos relativos a la propia persona: este poder de control y disposición se concreta jurídicamente en la facultad de consentir sobre la recogida, obtención y acceso a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 datos personales, su posterior almacenamiento y tratamiento por un tercero. Este derecho fundamental se preserva, en la LOPD, a través de una serie de principios generales regulados en su Título II. Dentro de ellos se contempla en el art 4 el principio de calidad de datos. Dentro del mismo, y de forma específica, apartado 3 regula el principio de veracidad o exactitud: determinando que los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, estableciéndose una serie de requisitos para poder incluir datos en esos ficheros, es decir, se han regulado diversos condicionantes con relación al contenido de esa información o la necesidad de realizar ciertas actividades que deben llevarse a cabo antes de dicha inclusión. Su finalidad es proteger al afectado para que no se vea perjudicado por ese tratamiento de datos (que siempre tiene un carácter desfavorable). El cumplimiento de estos requisitos corresponde al acreedor pues es el único en disposición de conocer si la deuda es real, existe por el importe declarado y no ha sido pagada. Entre los requisitos relativos al contenido de la deuda, desarrollados en el art 38 (y aplicada la Sentencia del TS de 15/7/10) figuran los siguientes:
  2. a)Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada.
  3. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación.
  4. c)Requerimiento previo de pago a quien corresponda. El cumplimiento de la obligación de la exigencia de que la deuda sea cierta, responde al principio de veracidad y exactitud de los datos recogido en el artículo 4.3 de la LOPD, su infracción se tipifica como grave en el art. 44.3.c que establece como tal: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cundo sea constitutivo de infracción muy grave” III El artículo 4 de la Ley Orgánica 15/1999, referente a la “calidad de los datos”, establece en su apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4, respectivamente: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el creedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos preceptos deben integrarse con la definición legal de “datos de carácter personal” y de “afectado o interesado” que ofrecen, respectivamente, los artículos 3,
  5. a)y 3,
  6. e)de la LOPD: “cualquier información concerniente a personas físicas identificadas o identificables”; “persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  7. c)del presente artículo”. El Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999 de protección de datos de carácter personal, establece en su artículo 38: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a Existencia previa de una deuda cierta, vencida y exigible, que haya resultado impagada y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero. (….) 2. No podrán incluirse en los ficheros de esta naturaleza datos personales sobre los que exista un principio de prueba que de forma indiciaria contradiga alguna de los requisitos anteriores. Tal circunstancia determinará asimismo la cancelación cautelar del dato personal desfavorable en los supuestos en los que se hubiera efectuado su inclusión en el fichero”. Se manifiesta por parte de VODAFONE que los datos del denunciante han estado incluidos en el fichero de solvencia Badex en dos ocasiones: desde 21/8/16 hasta 2/1/17 por importe de 554.26€; y posteriormente se incluyeron de nuevo el 12/3/17 hasta 9/4/17. Dicha inclusión se debió a que, desde el Departamento de Cobros, no se tuvo constancia de la existencia de una reclamación judicial en curso, aportándose además copia de la sentencia, condenatoria para dicha entidad de fecha 12/12/16. Debe pues valorarse si la inclusión de los datos del interesado en los ficheros de morosidad, cuando existía una reclamación planteada sobre la cuantía de la misma, vulnera el principio de calidad del dato, debiéndose tener en cuenta, tal como razona la Audiencia Nacional en la SAN de 30/5/12 que “viene considerando la Sala, también con la redacción actual del citado artículo 38.1 de la RLOPD tras la Sentencia del Tribunal Supremo de 15 de julio de 2010, que en supuestos como el presente en que consta una reclamación (en este caso administrativa) instada por el afectado para dirimir la certeza de la deuda y su cuantía, no concurre el requisito de deuda cierta exigido por el citado artículo 38.1.
  8. a)para la inclusión de los datos en los ficheros de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 solvencia patrimonial y crédito…Y esto, con independencia del resultado del laudo arbitral que con posterioridad pudiera dictarse, pues la certeza de la deuda constituye un requisito para que los datos personales puedan tener acceso a los citados ficheros artículo 38.1.
  9. a)RDLOPD, de tal forma de que si se incluye una deuda que en ese momento no es cierta se infringe el principio de calidad de datos, por lo que al haberse perfeccionado la conducta típica resulta irrelevante a efectos de la existencia de la infracción, el posterior resultado de la reclamación o del laudo arbitral. Lo anterior no es óbice para que lo resuelto, en este caso por la Junta Arbitral, pueda ser valorado y tomado en consideración a efectos de poder apreciar una cualificada disminución de la antijuricidad, especialmente a partir de la citada STS de 15 de julio de 2010”. Aplicándose lo anterior al caso que nos ocupa, la inclusión de los datos del interesado en el fichero de morosidad Badexcug, contravino el principio de calidad el dato por vulneración del art. 38.1.a del RLOPD, explicitado en la inclusión de una deuda en los ficheros de morosidad que no era cierta al haber interpuesto una de manda judicial. IV El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, En el caso que nos ocupa, al no haberse presentado alegaciones al Acuerdo de Inicio, el mismo puede considerarse propuesta de resolución, de conformidad con lo establecido en los artículos 64.2.
  25. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). Se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 45.4 de la LOPD: 1- El carácter continuado de la infracción. Constando dos incorporaciones a los ficheros de morosidad en un periodo de 6 meses. (Art, 45.4
  26. a)2- La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. (Art. 45.4
  27. c)3- El volumen de negocio o actividad del infractor. (Art. 45.4
  28. d)4- La reincidencia por comisión de infracciones de la misma naturaleza. (Art. 45.4
  29. g)El balance de las circunstancias contempladas en el artículo 45 de la LOPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 4.3 de la LOPD, en relación con el artículo 38.1.
  30. a)del RLOPD, permite fijar una sanción de 60.000 (sesenta mil euros). Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA, S.A.U. con NIF ***NIF.1, por una infracción del artículo 4.3 de la LOPD de la LOPD, tipificada como Grave en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 el artículo 44.3.c de la LOPD, una multa de 60.000 €, de conformidad con lo establecido en el artículo 45.4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  31. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  32. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.