PS-00135-2018

1/29 Procedimiento Nº PS/00135/2018 RESOLUCIÓN: R/01643/2018 En el procedimiento sancionador PS/00135/2018, instruido por la Agencia Española de Protección de Datos a la entidad XFERA MÓVILES, S.A. (YOIGO), vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: En fecha 03/11/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que expone que XFERA MÓVILES, S.A., (en lo sucesivo, la denunciada, YOIGO o XFERA), entidad de la que nunca ha sido cliente, ha informado sus datos personales (NIF, nombre y dos apellidos) al fichero de solvencia patrimonial ASNEF vinculados a una deuda que no le pertenece. Añade que tuvo noticia de este hecho en octubre de 2017, cuando le deniegan por ese motivo una financiación que había solicitado. La denunciante explica en su escrito que contactó telefónicamente con YOIGO, que le instó a interponer denuncia policial, y que una vez presentada la denuncia le hizo llegar una copia mediante el envío a la dirección control.incidencias@yoigo.com en fecha 18/10/2017,sin que haya recibido respuesta a su solicitud de cancelación de datos ni a la solicitud que reiteró el 26/10/2017, a través de un segundo correo electrónico, ni a las llamadas telefónicas efectuadas. Anexa a la denuncia, entre otros, los siguientes documentos: - Copia del DNI - Copia de la denuncia presentada ante el Juzgado de Instrucción de ***POBLACION.1. Acuse de recibo de la presentación en fecha 18/10/2017, a través de la aplicación LEXNET, ante la Oficina de Registro y Reparto de los Juzgados de Instrucción de ***POBLACION.1, de una denuncia por un presunto delito de estafa. - Escrito de EQUIFAX, de fecha 09/10/2017, con la información que obra en el fichero ASNEF asociada al nombre, dos apellidos y NIF de la denunciante: una operación de telecomunicaciones, informada por XFERA MÓVILES, S.A., por un saldo impagado de 310,68 euros. Como fecha de alta de la incidencia figura el 15/02/2013. La dirección postal asociada es calle ***DIRECCION.1 - Escrito firmado por la denunciante en el que designa al letrado B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/29 para que intervenga en su nombre en las actuaciones necesarias a fin de resolver la controversia originada por la inclusión de sus datos en el fichero ASNEF por una deuda a la que es ajena. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a XFERA MÓVILES, S.A. teniendo conocimiento de los siguientes extremos que se reflejan en el Informe de Actuaciones Previas de Inspección que se transcribe: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En fecha 17/01/2018 tiene entrada en el Registro de la AEPD la respuesta de YOIGO al requerimiento informativo de la Inspección en la que se recoge la siguiente información relevante: 1.- Se aporta impresión de pantalla de los ficheros de la entidad en la que constan los siguientes datos: A.A.A., NIF ***DNI.1. Correo electrónico ***EMAIL.1 . Domicilio calle ***DIRECCION.1. Cuenta bancaria en la entidad XXXX finalizada en los dígitos YYY. 2.- En las impresiones de pantalla figura “Información Logística del móvil” en la que se detalla que el 20/09/2012 el “Pedido” es recibido en el Operador Logístico y que el 21/09/2012 es entregado. 3.- A tenor de la información registrada en las impresiones de pantalla facilitadas, en las que figura asociada a la denunciante la línea ***TELEFONO.1, ésta se habría dado de alta a nombre de la denunciante el 25/09/2012. El contrato, según parece, finalizó el 03/01/2013. 4.- En las impresiones de pantalla remitidas a la Inspección consta: - “***ICC.1”; “CLIType CONT7”; “MNP APOR”; “Operator ONO”. 5. YOIGO no facilita información clara y explícita de los productos o servicios que se contrataron a nombre de la denunciante. 6. Se aporta copia de las siguientes facturas emitidas a nombre de la denunciante al domicilio de ***DIRECCION.1 que consta en los ficheros de la operadora, en las fechas y por los importes que se detallan: El 01/10/2012 por 10 euros; el 01/11/2012 por 20,89 euros; emitida el 01/12/2012 por 20,89 euros y emitida el 01/02/2013 por importe de 238,01 euros. - La entidad manifiesta que ninguna de las facturas llegó a ser abonada - La entidad manifiesta que todas las facturas fueron anuladas el 18/10/2017 como consecuencia de la reclamación interpuesta por la denunciante en la que indicaba que había sido víctima de una suplantación de identidad. 7. YOIGO declara que la contratación de la línea de móvil a nombre de la denunciante se efectuó a través de internet. - La entidad describe el siguiente procedimiento implantado “para la contratación por internet”: Se realiza a través de la página web http://www.yoigo.com accediendo el cliente al servidor de la tienda on line en https://tienda.yoigo.com en la que facilita toda la información que resulta obligada según la Ley General para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/29 Defensa de los Consumidores y Usuarios para la contratación a distancia. Se solicitan sus datos personales imprescindibles para tramitar el alta: nombre, apellidos, NIF o equivalente, dirección postal, teléfono de contacto y dirección de correo electrónico. Si el contratante opta por el pago aplazado facilitará los datos bancarios. Se le ofrece información de las condiciones aplicables a la contratación. Se le requiere para que las acepte expresamente como condición para tramitar el pedido on line. Se facilita un resumen de su pedido para que lo confirme, así como de las formas de pago. Se le muestra una confirmación de la compra facilitando el número de pedido y se le remite un correo electrónico con la confirmación de la compra, con un enlace a las condiciones de la contratación y al documento de desistimiento. Cuando se tiene constancia de que el email de confirmación se ha recibido, se contacta telefónicamente con el cliente y se fija la cita de entrega del pedido con el que se adjuntan las condiciones generales de contratación en soporte papel. La entrega la realiza SEUR o Correos y Telégrafos. Cualquiera de estas empresas exige la firma del albarán de entrega previa exhibición del DNI o documento equivalente. - YOIGO no ha respondido a las preguntas formuladas por la Inspección de Datos en los puntos 4.1 y 4.3 del escrito de requerimiento informativo. No hace referencia a ningún protocolo de validación de la identidad del contratante. Tampoco aporta documentos que acrediten la validación de la identidad de la contratante efectuada. 8. La denunciada declara que informó los datos personales de la denunciante al fichero ASNEF el 14/02/2013. La última confirmación de la incidencia incluida es del 11/10/2017. 9. Sobre los contactos mantenidos entre YOIGO y la denunciante se aporta una impresión de pantalla que bajo el epígrafe “Actividad” dice: - “(…) 20/10/2017 (…) se envía solicitud del abogado al juzgado para que admita la denuncia (adjunto documento) No válida para la gestión. - “(…) 18/10/2017 (…) Condonamos deuda de 310,68€ de la línea que a día de hoy está dada de baja. Quedamos a la espera de recibir denuncia”>> TERCERO: Con fecha 13/04/2018, la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador a XFERA MÓVILES por la presunta infracción de los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas ambas como infracciones graves en los artículos 44.3.

1. b)y 44.3.
2. c)de la citada Ley Orgánica, respectivamente, pudiendo ser sancionada cada una con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. CUARTO: Notificado el acuerdo de inicio, XFERA MÓVILES, mediante escrito de fecha 04/05/2018 formula alegaciones en las que solicita que se acuerde el sobreseimiento del expediente con archivo de actuaciones. Subsidiariamente, para el caso de que tal pretensión no sea estimada, que se imponga una sanción por la comisión de una infracción leve en su grado mínimo y, con carácter subsidiario respecto a las anteriores pretensiones, la imposición de una sanción por infracción leve en su grado medio. Además, solicita que se admitan y practiquen las pruebas que propone. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/29 A. Aduce en defensa de sus pretensiones los siguientes argumentos:
3. a)Respecto a la vulneración del principio del consentimiento: Afirma haber empleado la diligencia debida al identificar a la persona con la que realizó la contratación, pues recabó de esa persona sus datos, le solicitó su identificación al entregar el pedido y anuló las facturas emitidas tras conocer la denuncia presentada por el denunciante. - - - - - Afirma que los datos personales de la denunciante fueron tratados “con base en el consentimiento recabado por YOIGO” y, en congruencia con tal afirmación, entiende que la AEPD ha vulnerado el principio de tipicidad (ex artículo 27 de la Ley 40/2015) al decidir abrir el acuerdo de inicio del PS/135/2018, pues el tratamiento de datos personales se efectuó “en todo momento, conforme a lo exigido por la legislación vigente”, “artículo 6.1 LOPD y los artículos 12 y siguientes del RLOPD”. El consentimiento de la denunciante se recabó “al realizar la contratación a distancia, a través de la página web de mi representada, www.yoigo.com, de la línea de teléfono móvil ***TELEFONO.1, el 19/09/2012, ante una persona que se identificó como el Denunciante y que como tal introdujo sus datos en el proceso de contratación habilitado en la citada página web”. Además, identificó a la persona destinataria del pedido pues “efectuó la entrega del pedido a la persona que se identificó como la Denunciante a la hora de su recogida”. (El subrayado es de la AEPD). La entrega del pedido “fue gestionada por cuenta de YOIGO, por el operador logístico 20.20 MOBILE (ESPAÑA), S.A.U., quien antes de realizar la entrega de la tarjeta SIM asociada a la numeración ***TELEFONO.1 procedió a identificar a la persona contratante titular de dicha línea.” Indica que la “entrega de la tarjeta SIM” se realizó por la empresa de mensajería ASM el 25/09/2012, en la dirección que la persona contratante facilitó a YOIGO. Los documentos que acreditan que se validó la identidad del contratante obran en poder del operador logístico 20.20 MOBILE (ESPAÑA), S.A.U. y de la empresa de mensajería ASM por lo que solicitará su aportación en el trámite de prueba. Considera que ha facilitado a esta Agencia información clara y precisa de los productos contratados a nombre de la denunciante, concretamente “con los pantallazos” de los apartados 1 y 2; que sí ha informado del protocolo de validación de la identidad de los contratantes, en particular en la respuesta al requerimiento informativo del E/0660/2017, “apartado 6 páginas 4 y 5”.
4. b)Respecto a la infracción del artículo 4.3 LOPD, en relación con el artículo 29.4: Considera que no concurren los elementos integrantes del tipo infractor del artículo 44.3.
5. c)LOPD, lo que se traduce, dice, en una vulneración por la Agencia del principio de tipicidad (ex artículo 27 de la Ley 40/2015). - C/ Jorge Juan, 6 28001 – Madrid Argumenta que cumplió los requisitos que detalla el artículo 29.2 LOPD y 38.1, apartados a, b, y c del RLOPD. Respecto a los requisitos del artículo 38.1 RLOPD dice que los datos objeto de tratamiento versaron sobre el impago de una deuda; que la deuda es cierta, vencida y exigible, “concretamente la resultante de 5 facturas por un www.agpd.es sedeagpd.gob.es 5/29 - importe total de 310,68 euros”, y no se había entablado por la denunciante reclamación administrativa, arbitral o judicial alguna. Que la deuda se originó en 2012, por lo que no habían transcurrido seis años de antigüedad y añade que se efectuó el preceptivo requerimiento previo de pago. Por lo que concierne al requerimiento previo de pago dice: “Esta circunstancia queda acreditada, tal y como expresamente se reconoce por parte de la entidad INTRUM JUSTITIA IBÉRICA, S.A., quien a instancias de YOIGO reconoce haber tramitado el expediente de recobro relativo a la Denunciante tal y como consta en el certificado emitido el pasado 22 de diciembre de 2017 que acompaña al presente escrito como Anexo 1”. (El subrayado es de la AEPD). El documento aludido, cuya copia se remite junto con las alegaciones, es una carta dirigida a XFERA MÓVILES, S.A., firmada por Intrum Iustitia Ibérica, S.A.U., de fecha 22/12/2017, en la que le comunica que “En relación a su solicitud de información respecto al expediente a nombre de Doña A.A.A. DNI ***DNI.1, le informamos que dado el tiempo transcurrido desde que cesamos en la tramitación de dicho expediente, no nos consta en la actualidad ninguna información sobre el mismo, al haber procedido a la cancelación de dicha información”
6. c)Respecto a la atenuante cualificada del artículo 45.5. LOPD muestra su total conformidad con el criterio del acuerdo de inicio que apreció la concurrencia de la descrita en el apartado
7. b)de esa disposición.
8. d)Respecto a las circunstancias descritas en el artículo 45.4 LOPD que permiten graduar el importe de la sanción, rechaza el criterio que se sigue por la Agencia en el acuerdo de inicio. B. XFERA solicita en el escrito de alegaciones al acuerdo de inicio que la AEPD practique las siguientes pruebas “a efectos de demostrar la ausencia de tipicidad o, en su caso, la ausencia de culpabilidad”:
9. a)Requerir a Brightstar 2020 España, S.A. (antes 20:20 Mobile España) para que aporte toda la documentación que conserve en relación con el expediente que XFERA le encargo relativo a la denunciante y/o la entrega de un paquete realizada el 25/09/2012 (***DIRECCION.1) incluyendo el justificante y el alabarán de dicha entrega.
10. b)Requerir a General Logistics Systems Spain,S.A., (antes ASM) para que aporte toda la documentación que conserve en relación con el expediente encargado por XFERA y/o Brightstar a ASM relativo a la denunciante y la entrega de un paquete a su nombre efectuada el 25/09/2012 en la dirección ***DIRECCION.1, incluyendo el justificante y el albarán de dicha entrega.
11. c)Requerir a INTRUM IUSTITIA IBÉRICA, S.A., para que aporte toda la documentación que conserve, en relación con el expediente encargado por XFERA sobre la denunciante, incluyendo el requerimiento previo de pago. QUINTO: Con fecha 19/07/2018, conforme a lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se abre un período de prueba en el que se acuerda practicar las siguientes diligencias: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/29 1. Incorporar al procedimiento la documentación que integra el expediente E/6660/2017: La denuncia interpuesta por D.ª A.A.A.; la documentación recabada en las actuaciones previas de inspección y el Informe de Actuaciones Previas de Inspección. 2. Dar por reproducidas a efectos de prueba las alegaciones al acuerdo de inicio del PS/00135/2018, formuladas por XFERA, y su documentación adjunta. 3. Solicitar a XFERA que aporte a esta Agencia la siguiente documentación: a. Copia completa (se ha facilitado en dos ocasiones una copia parcial, únicamente folios 1 a 12, que finaliza con la rúbrica de la estipulación 3.4.6. y dos líneas más, en lugar del documento completo) del contrato de Prestación de Servicios Logísticos suscrito con 20:20 MOBILE ESPAÑA, S.A.U., el 01/09/2012. No es preciso que se aporten los anexos. b. Que detalle el protocolo que tenía implementado a fin de dar cumplimiento a las obligaciones que le imponen los artículos 38.3. y 43.1 del RLOPD. c. Que detalle qué medidas tenía implementadas a fin de asegurarse que la empresa que le prestaba el servicio logístico había confirmado que la persona receptora del envío era la misma que figuraba como titular de la línea. 4. Se practican pruebas ante ASNEF EQUIFAX, S.L., y ante EXPERIAN BUREAU DE CRÉDITO, S.A. A. Respuesta a las pruebas solicitadas: 1.- EQUIFAX IBÉRICA, S.L., responde en escrito de 24/07/2018 del que resulta: - En esa fecha no figura ninguna incidencia asociada al NIF de la denunciante inscrita en ASNEF. - Como operaciones ya canceladas y bloqueadas figuran éstas: Alta en fecha 15/02/2013 de una incidencia por un saldo pendiente de pago de 310,68 euros. Las fechas del primer y último vencimiento impagado son el 04/10/2012 y el 05/02/2013. La fecha de baja de la anotación es el 21/10/2017. - Asociado al NIF, nombre y dos apellidos de la denunciante y a la operación impagada precitada, consta el envío de dos cartas de notificación por parte de EQUIFAX: Ambas dirigidas a la dirección de calle ***DIRECCION.1, emitidas el 16/02/2013 y el 14/03/2013. - Existe un expediente (referencia 2017/198915) tramitado a raíz de que la denunciante hubiera ejercido el derecho de acceso y cancelación de sus datos incluidos en ASNEF por XFERA. Se integra por los documentos siguientes: Sendas solicitudes de acceso y cancelación firmadas por la denunciante de fecha 06/10/2017; copia de su DNI; respuesta de EQUIFAX de fecha 13/10/2017 en la que le comunica que XFERA ha confirmado la existencia de la deuda y la permanencia de los datos en el fichero. Impresión de pantalla con la información que obra en ASNEF asociada a la denunciante el 09/10/2017.Impresión de pantalla de la confirmación por XFERA de la incidencia el 11/10/217 calificando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/29 la información como “Dato correcto”. 2. EXPERIAN BUREAU DE CRÉDITO, S.A., responde a las pruebas practicadas 10/08/2018 y de su respuesta resulta: - En esa fecha no figura inscrita en BADEXCUG ninguna incidencia asociada al NIF de la denunciante. - Como operaciones ya canceladas figuran éstas: Operación nº 4569690. La deuda se dio de alta el 17/02/2013 y de baja el 22/10/2017, por “proceso automático semanal de actualización de datos”. El saldo impagado ascendió durante todo el periodo de vigencia de la incidencia a 310,68 euros. La fecha del primer vencimiento impagado es 04/10/2012 y la del último el 17/02/2013. - Como consecuencia de la inclusión en BADEXCUG a instancia de XFERA se emite una notificación de inclusión el 19/02/2013. La dirección de notificación asociadas es ***DIRECCION.1 - La entidad responsable del fichero BADEXCUG no tiene constancia de que la denunciante hubiera ejercitado los derechos de acceso o cancelación. 3. XFERA MÓVILES, responde a las pruebas solicitadas en escrito de 13/08/2018, en el que afirma aportar la copia completa del contrato de Prestación de Servicios Logísticos suscrito con 20:20 Mobile España, S.A.U., el 01/09/2012, documento que había sido solicitado anteriormente, en el curso de la investigación previa. El documento se remitió finalmente a la AEPD en fecha 13/09/2018. - Por lo que atañe al protocolo implementado por MAS MÓVIL para cumplir las obligaciones de los artículos “38.3 y 43.1” RLOPD, la denunciada se limita a decir que tal protocolo “se basaba en comprobar, antes de proceder a comunicar los datos al fichero de información sobre solvencia patrimonial y crédito ASNEF si se cumplían los siguientes requisitos…”. Requisitos que consistían en que la deuda fuera cierta, vencida y exigible y no se hubiera entablado respecto a ella reclamación judicial, arbitral o administrativa; que no hubieran transcurrido más de seis años desde el vencimiento de la obligación y que se hubiera efectuado el requerimiento previo a quien corresponde su cumplimiento. Y añade al respecto: “Los sistemas de MAS MOVIL iban registrando la información referida a los requisitos antes indicados, sin cuyo cumplimiento no enviaban comunicación alguna al fichero de información sobre solvencia patrimonial y crédito”. - Respecto al proveedor logístico 20:20 Mobile España, S.A.U., dice que había asumido contractualmente frente a MÁS MÓVIL la obligación de comprobar que la persona receptora del envió era la misma que figuraba como titular de la línea; que, en el contrato de prestación de servicios logísticos, para asegurarse de que esta obligación se cumplía se introdujeron las medidas descritas en las cláusulas 3.4.6., 6, 7, 9, 10, 11, 13 y 15. B. XFERA MÓVILES: En el escrito de respuesta a las pruebas solicitadas manifestó su total discrepancia con la decisión de la instructora del expediente, que rechazó practicar las pruebas que la entidad había propuesto en sus alegaciones al acuerdo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/29 inicio. A juicio de la entidad la decisión adoptada por la instructora no se ajustó a las previsiones del artículo 77.3 de la LPACAP. Reproducimos seguidamente un fragmento del escrito, firmado por la instructora del expediente, en el que acuerda la apertura del periodo de prueba y, en ese mismo trámite, comunica a XFERA MÓVILES la decisión de rechazar la las pruebas propuesta debido a su manifiesta improcedencia: <<B. Se ACUERDA, con arreglo al artículo 77.3 de la LPACAP rechazar debido a su “improcedencia” las siguientes pruebas propuestas por XFERA MÓVILES, S.A. (XFERA) en el escrito de alegaciones al acuerdo de inicio del expediente sancionador: <<(
12. ii)[…] que se requiera a BRIGHSTAR 2020 ESPAÑA, S.A. (antes MOBILE 20.20 ESPAÑA),(…), para que aporte toda la documentación que conserve, (…) en relación con el expediente encargado por XFERA MÓVILES, S.A.U., sobre Doña A.A.A. (NIF ***DNI.1) y/o la entrega de un paquete realizada a nombre de ésta el 25/09/2012, a las 20:50 , en la dirección calle (…), incluyendo entre otros, el justificante y el albarán de dicha entrega. (iii) […]que se requiera a GENERAL LOGISTICS SYSTEMS SPAIN, S.A. (antes ASM) con (…) para que aporte toda la documentación que conserve, bien directamente, bien a revés de cualquiera de sus contratistas y/o proveedores en relación con el expediente encargado por XFERA MÓVILES, S.A.U., y/o BRIGHSTAR 2020 ESPAÑA, S.A. (antes 20.20 MOBILE ESPAÑA) a ASM sobre Doña A.A.A. (NIF ***DNI.1) y/o la entrega de un paquete realizada a nombre de ésta el 25/09/2012, a las 20:50 , en la dirección (…)incluyendo entre otros, el justificante y el albarán de dicha entrega. (
13. iv)[..] que se requiera a INTRUM IUSTITIA IBÉRICA, S.A., (…) para que aporte toda la documentación que conserve, bien directamente bien a través de cualquiera de sus contratistas y/o proveedores en relación con el expediente encargado por XFERA MÓVILES, S.A.U., sobre Doña A.A.A. (NIF ***DNI.1), incluyendo entre otros el requerimiento previo de pago.>> La improcedencia de las pruebas propuestas por XFERA es de todo punto evidente. A través de las pruebas que solicita que esta Agencia practique pretende trasladar a este organismo la carga de la prueba del cumplimiento de sus obligaciones -las que le impone la normativa de protección de datos para el tratamiento realizado y que constituye el objeto del presente expediente sancionador- que única y exclusivamente incumben a ella. Las pruebas que solicita que la Agencia lleve a cabo son las que permitirían a la entidad apoyar las afirmaciones hechas en sus alegaciones de que cumplió las obligaciones que le impone la LOPD, cuya presunta infracción ha motivado la apertura del expediente sancionador que nos ocupa; afirmaciones que carecen de toda prueba. La denunciada -que no ha aportado ningún documento que demuestre que obró diligentemente en el cumplimiento de las obligaciones de los artículos 6.1 y 4.3. LOPD- ha declarado en el escrito de alegaciones al acuerdo de inicio, con el fin de justificar que obró con arreglo a la LOPD y que su conducta no entraña infracción alguna, que la persona con la que contrató, que se identificó con los datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/29 de la denunciante, había sido identificada a través de la empresa que le hizo entrega del pedido. Ha declarado a tal efecto que la entrega del pedido se había hecho “a la persona que se identificó como la denunciante a la hora de su recogida” y ha añadido que “dicha entrega fue gestionada por cuenta de YOIGO por el operador logístico 20.20 Mobile España, S.A.U.”. Indica también que “antes de realizar la entrega de la tarjeta SIM …procedió a identificar a la persona contratante titular de dicha línea. (…) la entrega de la tarjeta SIM fue realizada por la empresa de mensajería ASM”. Tales afirmaciones, en las que fundamenta el cumplimiento diligente del artículo 6 LOPD, no se corroboran con ningún soporte documental. Esa prueba documental, de la que no dispone, es la que desea que esta Agencia recabe en fase de prueba. Lo mismo cabe decir del cumplimiento de los requisitos del artículo 38.1 RLOPD, que tampoco acredita, por lo que aquí interesa el artículo 38.1.a). La denunciada se refiere –pese a que el acuerdo de inicio del procedimiento nada dice sobre ese particular- al requerimiento previo de pago de la deuda y “afirma” que se realizó debidamente a través de la empresa INTRUM IUSTITIA. De nuevo su afirmación está huérfana de toda prueba documental pues el único documento que aporta es un escrito que INTRUM IUSTITIA le dirige en el que le comunica que dado el tiempo transcurrido no obra en su poder la documentación acreditativa del requerimiento efectuado. Es por ello que XFERA solicita que la Agencia recabe de INTRUM IUSTITIA un documento que ella estaba obligada a tener en su poder “antes” de informar al fichero de solvencia los datos personales del supuesto deudor. Tanto respecto al requerimiento previo de pago (artículo 38.1.c RLOPD) como sobre el requisito de la certeza de la deuda (artículo 38.1.a, RLOPD), es de aplicación el artículo 43.1 del RLOPD a tenor del cual el acreedor deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. El artículo 38.3 RLOPD, por su parte, dice que el acreedor “está obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Por las razones expuestas, se inadmiten las pruebas solicitadas por XFERA en la alegación sexta, apartados (ii), (iii) y (iv), de su escrito de alegaciones al acuerdo de inicio.>> SEXTO: Con fecha 17/09/2018 se formuló propuesta de resolución en los siguientes términos: << PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a XFERA MÓVILES, S.A., con NIF A82528548, con multa de 40.000€ (cuarenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
14. b)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/29 SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a XFERA MÓVILES, S.A., con NIF A82528548, con multa de 40.000€ (cuarenta mil euros) por la infracción del artículo 4.3 en relación con el 29.4 de la LOPD, y en relación con el artículo 38.1.
15. a)RLOPD, tipificada como grave en el artículo 44.3.
16. c)de dicha norma.>> SÉPTIMO: La propuesta de resolución se notificó electrónicamente a la entidad denunciada, siendo la fecha de puesta a disposición el 17/09/2018 y la fecha de aceptación de la notificación por XFERA MÓVILES el 19/09/2018. En fecha 19/09/2018 la AEPD remite a la denunciada una copia del expediente administrativo que fue recibida por la destinataria el 20/09/2018. XFERA MÓVILES presentó en fecha 03/10/2018 sus alegaciones a la propuesta de resolución en las que solicitó, en primer término, “el sobreseimiento del expediente, con el consiguiente archivo de las actuaciones”; subsidiariamente, la imposición de “una sanción por infracciones leves en su grado mínimo” y, subsidiariamente en relación con las anteriores pretensiones la imposición de “una sanción por infracciones leves en su grado medio”. En apoyo de sus respectivas pretensiones invoca los argumentos siguientes: 1. Reitera las alegaciones formuladas al acuerdo de inicio “dándolas por reproducidas en su integridad”. 2. Sin perjuicio de lo anterior hace las siguientes “alegaciones específicas”: 2.1 La alegación primera versa sobre el “consentimiento del denunciante recabado por YOIOGO”. Centra su alegato en que la propuesta de resolución ratifica la inadmisión de las pruebas cuya práctica había propuesto. La denunciada afirma que la Agencia “no tiene en cuenta que los documentos que acreditan la validación de la identidad de la persona contratante obran en poder del operador logístico20.20 MOBILE (ESPAÑA), S.A.U. y de la empresa de mensajería ASM, circunstancia clave en el asunto que nos ocupa”. No comparte la afirmación de la Agencia según la cual no desplegó la diligencia mínima exigible pues, dice, como quedó acreditado en la respuesta al requerimiento informativo, páginas 4 y 5, apartado 6, tenía implementado un protocolo de validación de la identidad del contratante. 2.2. La segunda alegación versa sobre la diligencia debida y a tal efecto cita la SAN de 29/04/2010 de la que transcribimos uno de los fragmentos que la denunciada reproduce en su escrito de alegaciones: <<(…) Así, al igual que razonamos en nuestra sentencia de fecha 29 de octubre de 2009 (PROV 2009, 468134), a la vista de las especiales circunstancias concurrentes en el caso de autos, no cabe apreciar culpabilidad alguna (ni siquiera a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/29 título de culpa o falta de diligencia) en la actuación de la entidad recurrente , que actuó en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal con una documentación en apariencia auténtica y a ella correspondiente, por lo que estaba legitimada par el tratamiento de sus datos de carácter personal…>> 2.3. La alegación tercera versa sobre la infracción del principio de calidad de los datos que se le imputa y cuya atribución rechaza. Manifiesta que la comunicación de los datos personales del denunciante a ASNEF se efectuó cumpliendo en todo momento las disposiciones de la legislación vigente. Indica que estamos ante datos de carácter personal relativos al incumplimiento de obligaciones dinerarias; ante la “existencia previa de una deuda cierta, vencida, exigible, que ha resultado impagada (…) y respecto de la cual no se había entablado reclamación judicial, arbitral o administrativa alguna…”; no habían transcurrido seis años desde la fecha en que debió procederse al pago de la deuda; y existió un requerimiento previo de pago. 2.4 Respecto a las atenuantes que deben ser aplicadas, expone su “rechazo y oposición con los criterios de graduación aplicados por parte de la Propuesta de Resolución”, que, dice, contravienen lo dispuesto en el artículo 45.4 LOPD. Invoca la aplicación del principio de proporcionalidad y hace los siguientes comentarios respecto a las circunstancias que detalla el artículo 45.4 LOPD: - - En relación con la circunstancia del apartado
17. b)afirma que el volumen de tratamientos efectuados es mínimo, pues se han tratado sólo datos de una persona. En relación con la circunstancia recogida en el punto c), discrepa de la interpretación de la Agencia pues, dice, este criterio “se ha de equiparar a la falta de diligencia que le es debida”. Sobre el volumen de actividad, critica que se dé por sentado y se considere un hecho notorio. Con relación al apartado
18. e)niega haber obtenido beneficios. Con relación al apartado
19. f)dice que la intencionalidad es nula y que tiene implantados procedimientos suficientes y efectivos para el tratamiento de los datos de los clientes de forma diligente. Con relación al apartado
20. h)afirma que no se ha acreditado la existencia de perjuicios sufridos por la denunciante ni menos aún su naturaleza. Con relación al apartado i), insiste en que posee procedimientos adecuados en la recogida y tratamiento de datos personales. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/29 PRIMERO: A.A.A., con DNI ***DNI.1 y domicilio en ***DIRECCION.2, según consta en la copia de su documento de identidad (folio 3) denuncia la inclusión de sus datos en ficheros de solvencia informados por XFERA MÓVILES, S.A., empresa de la que nunca ha sido cliente, por una deuda que no le pertenece. (Folios 1 y 4 a 7) SEGUNDO: La denunciante manifiesta que, a raíz de que en octubre de 2017 le denegasen la financiación de una compra, se dirigió a EQUIFAX IBÉRICA, S.L., ante quien ejercitó los derechos de acceso y cancelación, conociendo entonces que estaba incluida en ese fichero por la denunciada. Aporta copia de la respuesta de EQUIFAX IBÉRICA, S.L., al acceso solicitado, en la que consta que a fecha 09/10/2017, asociado a su identificador, existe una incidencia informada por XFERA MÓVILES, S.A., por un producto de telecomunicaciones, en calidad de titular de una deuda de 310,68 euros, siendo la fecha de alta de la anotación el 15/02/2013. Asociado al NIF, nombre y dos apellidos de la denunciante consta un domicilio en ***DIRECCION.1. (Folio 13) TERCERO: Obra en el expediente copia del resguardo de LEXNET que acredita la presentación ante la Oficina de reparto y registro de Instrucción de ***POBLACION.1, dirigida al Juzgado de Instrucción, de una denuncia por estafa interpuesta por la denunciante y enviada a través de la citada aplicación por el Letrado B.B.B. el 18/10/2017 a las 20:23 horas (Folio 21) CUARTO: Obra en el expediente copia del escrito dirigido al Juzgado de Instrucción de ***POBLACION.1 al que por turno corresponda de una denuncia cuyos hechos coinciden con los relatados en la interpuesta ante esta Agencia. El escrito está firmado digitalmente por el Letrado en fecha “2017.10.18” a las “20:05:54+02´00´” (Folios 22 a 26) QUINTO: Obran en el expediente aportados por XFERA MÓVILES diversas impresiones de pantalla de sus ficheros relacionadas con los hechos que nos ocupan:
21. a)En la pantalla “Cliente” constan los datos personales de la denunciante: nombre, dos apellidos y NIF. Vinculado a ella un domicilio en ***DIRECCION.1. Como fecha de nacimiento el “17/03/1975”, que no coincide con la de la denunciante. (Folio 41)
22. b)En la pantalla “Pedido” la siguiente información: Como “estado pedido”, “entregado”; “Nº Pedido” 8949086; “Modalidad de contrato”, “Pospad”; “ID vendedor” “Web” y como “Fecha solicitud” el “18/09/2012”. (Folio 41)
23. c)En la pantalla “Entrega” se indica: En fecha 20/09/2012 a las 09:48 “Pedido recibido en el operador logístico DEXTRA”. En fecha 20/09/2012 a las 11:45 “Pedido preparado. A la espera de expedidor. DEXTRA” y como “Mensajero” “ASM”. En fecha 21/09/2012 a las 20:50 “Pedido entregado. DEXTRA” y como “Mensajero” “ASM”. (Folio 41)
24. d)Dos capturas de pantalla (folio 42) de las que resulta que la línea ***TELEFONO.1 se contrató a través de la Web siendo el cliente A.A.A., el método de pago post pago y la fecha de creación el 19/09/2012. La contratación con YOIGO habría finalizado el 03/01/2013. SEXTO: XFERA MÓVILES emitió, durante la vigencia del contrato suscrito a nombre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/29 de la denunciante, cuatro facturas en las que constan los datos personales de la afectada: nombre, apellidos y NIF y una dirección postal que no se corresponde con la de la denunciante. Fueron emitidas en fecha 01/10/2012; 01/11/2012; 01/12/2012; 01/02/2013 (Folios 50 a 57) SÉPTIMO: XFERA MÓVILES declara que la contratación de la línea a nombre de la denunciante se efectuó a través de internet mediante un procedimiento que describe en los folios 44 y 45 del expediente. Añade que, en el año 2012, en que se efectúa la contratación, “el operador logístico encargado de las entregas de los productos adquiridos en venta a distancia” era la empresa “20:20 Mobile España, S.A.U”, en la actualidad BRIGHSTAR, con la que suscribió un contrato en mayo de 2009 (Folio 44) OCTAVO: XFERA MÓVILES no ha aportado ni copia del DNI del contratante; ni la copia del albarán de entrega al destinatario de la venta efectuada a distancia. Expone que la empresa expedidora ha manifestado que “dado el tiempo transcurrido no conserva el citado documento”. (Folio 44) NOVENO: El procedimiento que XFERA MÓVILES tuvo implantado para la contratación por internet cuando acontecieron los hechos denunciados es, en síntesis, el siguiente: - Se realiza a través de la página http://www.yoigo.com “donde el cliente accede al servidor seguro de la tienda online http://tienda.yoigo.com” para consultar ofertas y características de los productos así como diversa información. - Posteriormente se solicitan sus datos personales imprescindibles para gestionar el alta: nombre, apellidos, DNI o equivalente, dirección postal, teléfono de contacto y email; su consentimiento para el envío de información comercial y número de cuenta bancaria de domiciliación de pago si optó por la modalidad de “Contrato”. - Se informa de las condiciones generales de la venta y se solicita expresamente la aceptación para la tramitación del pedido online. - Se presenta un resumen del pedido para la confirmación de los datos. Se muestra una confirmación de la compra con el número de pedido y los datos principales y se le envía un email de confirmación de compra. - Una vez recibido el email de confirmación “se contacta con el cliente por teléfono para establecer la cita de entrega del pedido”. “La entrega del pedido …se realiza por la entidad Correos y Telégrafos o por SEUR, que solicita la firma del albarán de entrega previa exhibición del DNI del denunciante o documento equivalente” (Folios 44 y 45) DÉCIMO: De la documentación aportada por EQUIFAX IBÉRICA, S.L., que obra en el expediente quedan acreditados los siguientes extremos:
25. a)C/ Jorge Juan, 6 28001 – Madrid XFERA MÓVILES, S.A., comunicó al fichero ASNEF una incidencia asociada al NIF, nombre y dos apellidos de la denunciante, por una deuda impagada de 310,68 euros. La fecha de alta de la incidencia (fecha de visualización) es el 12/03/2013 y la fecha de baja el 21/10/2017 La fecha de los vencimientos impagados, primero y último, es 04/10/2012 y www.agpd.es sedeagpd.gob.es 14/29 - 05/02/2013. El domicilio asociado a la afectada es ***DIRECCION.1. (Folios 120 y 124 a 130)
26. b)- EQUIFAX IBÉRICA, S.L., en escrito dirigido a la denunciante de fecha 13/10/2017, responde a su petición de cancelación informándole que no puede ser atendida al haber confirmado la existencia de la deuda y la permanencia en el fichero la entidad. Aporta impresión de pantalla de sus sistemas en la que consta que en fecha 11/10/2017 XFERA MÓVILES confirma la incidencia (Folios 131 y 140) UNDÉCIMO: De la documentación aportada por EXPERIAN BUREAU DE CRÉDITO, S.A., que obra en el expediente quedan acreditados los siguientes extremos: - - XFERA MÓVILES comunicó al fichero de solvencia patrimonial BADEXCUG, asociada al NIF, nombre y dos apellidos de la denunciante, una incidencia por un saldo pendiente de 310,68 euros (operación número 4569690) (Folios 144 y 148 a 152) La incidencia se dio de alta el 17/02/2013 y de baja el 22/10/2017 por “proceso automático semanal de actualización de datos” El domicilio atribuido a la afectada que la entidad informante comunicó a BADEXCUG era ***DIRECCION.1(Folio 147) DUODÉCIMO: La denunciada ha manifestado que anuló la deuda al tener noticia de la reclamación de la afectada. Aporta captura de pantalla de sus sistemas relativa a las comunicaciones mantenidas con la denunciante (folio 43) en la que figura una anotación de fecha 18/10/2017 a las 12:38: “Condonamos deuda de 310,68 euros de la línea que a día de hoy está dada de baja. Quedamos a la espera de recibir denuncia”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. El artículo 6 LOPD bajo la rúbrica “Consentimiento del afectado” establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/29 “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; (…). El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos. Conforme al citado precepto el tratamiento de datos sin contar con el consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. (…)” El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/29 “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
27. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. La vulneración de los artículos 6.1 y 4.3 de la LOPD se tipifica como infracción grave en el artículo 44.3., apartados
28. b)y c), respectivamente. Precepto que dispone: 44.3. Son infracciones graves: (…)
29. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
30. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III Se atribuye a XFERA MÓVILES en el presente expediente sancionador la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3, concretadas en el tratamiento de los datos personales de la denunciante sin su consentimiento -pues dio de alta a su nombre un servicio de telefonía móvil que la afectada niega haber contratado- y en la posterior inclusión de sus datos en los ficheros de solvencia patrimonial ASNEF y BADEXCUG asociados a una deuda a la que ella era ajena. Por lo que concierne a la infracción del artículo 6.1 de la LOPD se hacen estas consideraciones. A. A tenor del artículo 6 LOPD el tratamiento de datos personales exige recabar el consentimiento de su titular; consentimiento que la ley obliga a que sea “inequívoco”, esto es, que no admita duda o equivocación. El principio del consentimiento o autodeterminación recogido en el artículo 6 LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos. A través del consentimiento prestado al tratamiento de sus datos personales el titular ejerce de forma efectiva el poder de control y de disposición sobre ellos. En esa línea el Tribunal Constitucional, en su STC 292/2000, de 30 de noviembre (Fundamento Jurídico 7), señala que “(…)Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/29 estado o un particular (…)” (El subrayado es de la AEPD) La LOPD exige que el titular de los datos sea quien otorgue el consentimiento inequívoco al tratamiento, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
31. h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. El tratamiento de los datos personales sin el consentimiento de su titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho. Sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El apartado 2 del artículo 6 LOPD dispensa de la necesidad de recabar el consentimiento del afectado cuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento. Esto, porque el consentimiento para tratar los datos personales está implícito en el consentimiento otorgado a la contratación, pero, únicamente, en la medida en que el referido tratamiento sea el preciso para la ejecución del contrato y si quien facilita los datos personales con ocasión de la contratación ha sido efectivamente su titular. B. El objeto de la denuncia que nos ocupa es, entre otros, el tratamiento de los datos personales de la denunciante efectuado por XFERA sin su consentimiento; tratamiento que consistió en incorporarlos a sus ficheros asociados a la contratación de una línea de telefonía móvil ***TELEFONO.1 con fecha de alta 19/09/2012. Tratamiento que está debidamente acreditado en el expediente habida cuenta de que la documentación que lo integra demuestra que los datos de la denunciante, nombre, dos apellidos y NIF (no así su dirección postal) se incorporaron a los registros informáticos de XFERA MÓVILES vinculados a la contratación de la línea de móvil ***TELEFONO.1. El domicilio postal que se atribuye a la denunciante no es el suyo, que está ubicado en la provincia de ***POBLACION.1, sino otro radicado en ***DIRECCION.1 (hecho probado primero). Nos remitimos en ese sentido a los hechos probados segundo y quinto y a los folios 41 y 42 que son capturas de pantalla de los registros de la operadora con los datos de la afectada. Es también exponente del tratamiento de datos objeto de la denuncia la emisión de varias facturas a nombre de la denunciante por la contratación a su nombre del servicio vinculado a la línea controvertida. Obran en el expediente cuatro facturas -emitidas el 01/10/2012 por 10 euros; el 01/11/2012 por 20,89 euros; el 01/12/2012 por 20,89 euros y el 01/02/2013 por importe de 238,01 euros- a nombre de la denunciante en las que consta su NIF, nombre y apellidos. La denunciante ha negado la contratación de cualquier servicio con la operadora denunciada. Ha expresado su negativa en el escrito de denuncia que presentó ante la AEPD -en la que declaró que nunca había sido cliente de YOIGO-; en la denuncia que presentó el 18/10/2017, por un presunto delito de estafa, ante los Juzgados de Instrucción de ***POBLACION.1 y en la reclamación que formuló ante la operadora, de la que existe constancia documental, pues XFERA MÓVILES facilitó a la Agencia con su respuesta al requerimiento informativo de la Inspección impresiones de pantalla de sus sistemas informáticos en las que se alude a las reclamaciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/29 la denunciante efectuó ante la entidad. Existe una nota con la reclamación de fecha 17/10/2017 y la indicación de que la denunciante reclama por suplantación de identidad respecto a los datos de DNI, nombre y dos apellidos y que no reconoce como suya la línea por la que le reclaman cinco facturas pendientes con un importe de 310,68 euros (folio 44) XFERA MÓVILES, por su parte, manifestó en la respuesta al requerimiento informativo de la Inspección que la denunciante contrató con ella a través de la página web la línea de telefonía móvil. Con el propósito de que la denunciada pudiera demostrar que recabó y obtuvo el consentimiento de la denunciante para el tratamiento de sus datos, en definitiva, que consintió la contratación de la línea controvertida, se le requirió por la Inspección de Datos, en el curso de las actuaciones de investigación previa, para que “si la contratación se había realizado por internet” aportase información del “procedimiento implementado para validar la identidad del contratante”, la “documentación que permitiera acreditar el consentimiento prestado en la contratación” y la que acreditara la “validación realizada sobre la identidad del contratante” (folio 32) Sin embargo, XFERA MÓVILES no ha aportado ningún documento, en ningún soporte, del que se infiera que recabó y obtuvo el consentimiento de la denunciante a la contratación del servicio que dio de alta a su nombre. Ni tampoco documento alguno del que se pueda concluir que obró, en el presente caso, con la diligencia mínima exigible a fin de identificar a la persona que facilitó como suyos los datos personales que han sido objeto de tratamiento. La Audiencia Nacional viene considerando que cuando el titular de los datos niega la contratación corresponde la carga de la prueba a quien afirma su existencia. Reiteradamente ha manifestado que el responsable del tratamiento de datos de terceros debe recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004) que en su Fundamento de Derecho Cuarto dice: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD) XFERA MÓVILES ha descrito el “procedimiento implantado para la contratación por internet” (Folios 44 y 45). Los trámites que lo integran se detallan en el Hecho Probado noveno de esta resolución, de los que destacamos los siguientes: Se solicitan a través de la página web los datos personales imprescindibles para gestionar el alta; se informa de las condiciones generales de la venta y se solicita expresamente la aceptación para la tramitación del pedido online; se ofrece un resumen del pedido para la confirmación de los datos y se envía al cliente un email de confirmación de compra. Recibido el email de confirmación “se contacta con el cliente por teléfono para establecer la cita de entrega del pedido” y que “La entrega del pedido …se realiza por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/29 la entidad Correos y Telégrafos o por SEUR, que solicita la firma del albarán de entrega previa exhibición del DNI del denunciante o documento equivalente”. Pues bien, según XFERA MÓVILES, el protocolo implantado para validar la identidad de la persona que celebra un contrato a través de internet tiene lugar en el momento en que se realiza la entrega del pedido. El contrato suscrito entre XFERA y el operador logístico 20:20 Mobile España, S.A.U. en 2009, vigente en 2012, cuando tuvo lugar la contratación atribuida a la afectada, dispone en la estipulación 3.4.6 que el operador logístico deberá proceder a la comprobación de la identidad del cliente en el momento de la entrega del pedido solicitando al cliente la exhibición de un documento original acreditativo de la identidad (DNI, Tarjeta de Extranjero o pasaporte) debiendo cancelar la entrega si el documento exhibido hubiera correspondido a una persona distinta de la que realizó el pedido. Además, la cláusula 3.4.5., del citado contrato, referente a los albaranes de entrega, dice que a la entrega de un pedido el destinatario deberá firmar y fechar los albaranes de transporte; que el operador logístico deberá conservar y archivar todos los albaranes de entrega, de modo que sea posible acreditar la efectiva entrega del pedido; que YOIGO (XFERA) podrá revisar los albaranes debiendo abonar 3 euros por cada albarán revisado cuando el número solicitado supere el 1% de los generados diariamente y que el operador logístico mantendrá almacenados y a disposición de YOIGO los albaranes por un periodo de cinco años. Sin embargo, XFERA no ha aportado ninguna prueba de que tal y como afirma hubiera identificado a la persona que contrató el servicio. Ni ha aportado la grabación de la conversación telefónica que según su protocolo precede a la entrega, ni, lo que es fundamental, pues es en ese trámite cuando supuestamente se idéntica al contratante, la copia del albarán de entrega del pedido. Esta entrega debía estar precedida de la verificación de que el receptor y el contratante eran la misma persona, para lo cual debía aquél exhibir el original de DNI o pasaporte. La actividad probatoria de XFERA ha consistido únicamente en afirmar que la identificación del contratante se realizó con ocasión de la entrega del pedido que se gestionó por cuenta de YOIGO por el operador logístico, aunque “la entrega de la tarjeta SIM fue realizada por la empresa de mensajería ASM el 25/09/2012, a las 20:50 en la dirección que la persona contratante facilitó a YOIGO”. La omisión del albarán de entrega se ha justificado por la denunciada señalando que las entidades implicadas se han negado a facilitarlo dado el tiempo transcurrido. Por esa razón ha tratado que fuera esta Agencia quien recabara los documentos. Así, en sus alegaciones al acuerdo de inicio propuso como prueba que la AEPD pidiera a las empresas 20:20 Mobile España, S.A.U., y ASM la documentación acreditativa de haber contrastado la identidad del receptor del envío, en nombre de XFERA MÓVILES, de acuerdo con el contrato de prestación de servicio suscrito con ella. La solicitud de prueba fue desestimada por ser manifiestamente improcedente. La diligencia que es exigible al responsable del fichero que trata datos personales de terceros en relación con la obligación del artículo 6 LOPD conlleva que obtenga y conserve los documentos que le permitan acreditar que su actuación fue ajustada a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/29 Derecho, sin que pueda eximirle de responsabilidad que ese incumplimiento esté motivado por la actuación del tercero con quien contrató. Menos aun cuando, como aquí acontece, las estipulaciones contractuales permitían a XFERA solicitar los documentos a esas entidades en un plazo de cinco años, plazo que se computa desde la fecha de la entrega del pedido, momento en el que se procedería supuestamente a validar la identidad del destinatario, (el 19/09/2012) y que, por tanto, en la fecha en la que la afectada interpuso denuncia (el 03/11/2017) ya había vencido. Como se indicó en la propuesta de resolución y en el escrito de denegación de prueba, a través de la solicitud de que fuera la AEPD quien recabara de las entidades Mobile 20.20 España, S.A. y ASM la documentación que XFERA MÓVILES no había aportado, pretendía trasladar a esta Agencia la prueba del cumplimiento de sus obligaciones, cuando es esa una carga procesal que sólo a ella le incumbe. C. A la luz de lo expuesto resulta acreditado, por una parte, que la entidad denunciada estuvo tratando los datos personales de la afectada durante un largo periodo de tiempo -entre el 19/09/2012 y el 22/10/2017-, más de cinco años, y, por otra, no consta que hubiera recabado el consentimiento de la titular para la contratación ni que hubiera desplegado con ocasión de aquélla la diligencia mínima exigible a fin de estar en condiciones de probar la identidad de la persona que los facilitó como suyos. Conducta que resulta contraria al principio del consentimiento recogido en el artículo 6.1 LOPD. Hemos de precisar que el tratamiento de datos de la afectada por XFERA se inicia en la fecha en que dio de alta a su nombre la línea de telefonía móvil, el 19/09/2012, y que, sin perjuicio de que el contrato se hubiera dado por terminado en 2013, el tratamiento de sus datos continuó en el tiempo, al menos, hasta el 22/10/2017, fecha en la que XFERA MÓVILES cancela del fichero BADEXCUG la incidencia que había comunicado. La Audiencia Nacional ha manifestado reiteradamente que el responsable del tratamiento de datos personales de terceros debe recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Puede traerse a colación en tal sentido una antigua SAN, de 11/05/2001, que señalaba: “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” (El subrayado es de la AEPD). D. XFERA MÓVILES no ha actuado en el tratamiento de los datos personales de la denunciante con la diligencia que exige el cumplimiento de las obligaciones impuestas por la normativa de protección de datos. El elemento subjetivo de la culpabilidad es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. El Tribunal Constitucional en su Sentencia 76/1999 afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/29 derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. A la necesidad de que exista responsabilidad, entendida como elemento subjetivo de la infracción, ya sea en forma de culpa –en cualquiera de sus manifestaciones, culpa leve, grave o gravísima- o de dolo se refiere el artículo 28.1 de la Ley 40/2015, de Régimen Jurídico de las Administraciones Públicas señala que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” La doctrina de la Audiencia Nacional sobre esta materia es exigir a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la SAN de 17/10/2007 (Rec. 63/2006), la Sala de lo contencioso-administrativo precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Especialmente significativa es también la SAN de 29/04/2010 que, a propósito de la contratación fraudulenta, indicó en su Fundamento Jurídico sexto: “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) Son también dignas de mención las consideraciones que la SAN de 30/05/2015 (Rec. 163/2014) hace en relación con el modo de atribución de la responsabilidad a las personas jurídicas en el marco del procedimiento sancionador (al que expresamente se refiere la Ley 40/2015 en su artículo 28) Esta SAN conecta la reprochabilidad a una persona jurídica de una determinada conducta con el hecho de que aquella hubiera o no dispensado una eficaz protección al bien jurídico protegido por la norma. Y en el presente caso, a la vista de la ausencia total de prueba aportadas por XFERA no queda acreditado que de 30/05/2015 (Rec. 163/2014) con relación al modo de atribución de la responsabilidad a las personas jurídicas hubiera actuado diligentemente en el cumplimiento de la obligación que le impone el artículo 6.1 LOPD. Así las cosas, la conducta de XFERA MÓVILES, materializada en el tratamiento de los datos personales de la denunciante –NIF, nombre y dos apellidos- unida a la grave falta de diligencia demostrada vulnera el artículo 6 de la LOPD y es subsumible en el tipo infractor del artículo 44.3.b), precepto que dispone: “Son infracciones graves (…) Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/29 a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV Se atribuye a XFERA MÓVILES una infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4, en relación con la cual han de hacerse las siguientes reflexiones: Las normas jurídicas reproducidas en el Fundamento de Derecho II ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige que la deuda sea cierta, vencida, exigible y que haya resultado impagada. Conviene recordar, además, que el acreedor que informa los datos al fichero es el responsable de comprobar que tal inclusión se ajusta a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. En tal sentido ha de traerse a colación la disposición del artículo 43.1 del RLOPD que establece: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) Constituye un hecho probado que XFERA MÓVILES trató los datos personales de la denunciante (su nombre, apellidos y NIF) asociados a la contratación de un servicio de telefonía móvil con fecha de alta 19/09/2012. Como se ha expuesto en el Fundamento Jurídico precedente esa entidad no ha podido acreditar que la afectada hubiera otorgado el consentimiento a la contratación de los servicios. No se discute que esos servicios llegaron a prestarse por XFERA MÓVILES y que el impago de su coste generó una deuda que no fue atendida. La cuestión relevante es, sin embargo, otra: en tanto no ha acreditado que la denunciante fuera la persona que contrató el servicio no ha quedado tampoco acreditada su condición de deudora. Así pues, la deuda generada “no es cierta”, ni vencida ni exigible respecto a la persona de la denunciante. Ante el impago de las facturas XFERA MÓVILES comunicó a los ficheros de solvencia patrimonial ASNEF y BADEXCUG una incidencia asociada al NIF de la afectada por un importe de 310,68 euros. La deuda asociada a la denunciante se comunicó a ASNEF con fecha de alta 12/03/2013 y se dio de baja el 21/10/2017. XFERA MÓVILES mantuvo incluidos los datos personales de la denunciante durante más de cuatro años y siete meses sin legitimación para ello, toda vez que la deuda comunicada a ese fichero de solvencia no cumplía el requisito del artículo 38.1.a, RLOPD. Lo mismo cabría decir respecto a la comunicación de los datos de la denunciante al fichero BADEXCUG asociados a una deuda a la que ella era ajena, siendo la fecha de alta de la inclusión el 17/02/2013 y la fecha de baja el 22/10/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/29 En definitiva, los datos personales de la denunciante fueron incluidos por la denunciada en dos ficheros de solvencia patrimonial vinculados a una deuda que no le pertenecía; deuda que no era cierta, ni vencida ni exigible desde la perspectiva de la afectada por cuanto la entidad informante, XFERA MÓVILES, no ha podido acreditar su condición de deudora. Resulta por ello que la información que la entidad comunicó a ASNEF y a BADEXCUG no se ajustó al principio de exactitud y veracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD pues incumplía el requisito del artículo 38.1.a, RLOPD. Indicar también que el RLOPD refuerza la diligencia que es exigible al acreedor que comunica datos de un tercero a un fichero de solvencia patrimonial en tanto que, en su artículo 43.1, prevé que en el momento de comunicar los datos adversos al fichero de solvencia se asegure de que están presentes todos los requisitos a los que el artículo 38.1 supedita tal comunicación. Y el artículo 38.3 RLOPD le obliga a conservar documentación suficiente para acreditar el cumplimiento de tales requisitos. Consideraciones que evidencian que en el presente caso XFERA MÓVILES omitió la diligencia mínima exigible atendidas las circunstancias que concurren. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD y en relación, asimismo, con el artículo 38.1.
32. a)del RLOPD, infracción tipificada en el artículo 44.3.
33. c)de la citada norma. V El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
34. a)El carácter continuado de la infracción.
35. b)El volumen de los tratamientos efectuados.
36. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
37. d)El volumen de negocio o actividad del infractor.
38. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
39. f)El grado de intencionalidad.
40. g)La reincidencia por comisión de infracciones de la misma naturaleza.
41. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
42. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/29 siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
43. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
44. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
45. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
46. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
47. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
48. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". Para ello es necesario que concurra bien una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el precepto cita. A. Al igual que se apreció en el acuerdo de inicio del expediente se estima en esta propuesta de resolución que concurre en el supuesto que nos ocupa, respecto a las dos infracciones de la normativa de protección de datos de las que se responsabiliza a XFERA, la atenuante cualificada del artículo 45.5.
49. b)LOPD: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”. En la documentación aportada por la operadora, procedente de sus registros informáticos, existe una anotación de fecha 18/10/2017 que versa sobre la reclamación formulada por la denunciante en la que se indica que condona la deuda de 310,68 euros de la línea asociada a ella, ***TELEFONO.1. YOIGO afirma que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/29 recibida la denuncia puso fin a la comunicación de datos al fichero de solvencia siendo la última comunicación a ASNEF en relación con la deuda atribuida a la denunciante la de fecha 11/10/2017. Extremo que coincide con la información facilitada por ASNEF, según la cual los datos personales de la denunciante se dieron de baja de ese fichero el 21/10/2017. Respecto a BADEXCUG, la cancelación de la incidencia a nombre de la denunciante se produjo el 22/10/2017 por proceso automático semanal de actualización de datos. La actuación de XFERA MÓVILES regularizando la situación irregular provocada aconteció antes de que se interpusiera denuncia ante esta Agencia, lo que aconteció el 13/04/2018. El efecto jurídico que deriva de la aplicación del artículo 45.5 LOPD es la imposición de la sanción de acuerdo con la escala prevista para las infracciones que preceden en gravedad a la infracción realmente cometida, por lo que las sanciones que corresponde imponer en el presente caso deberán estar comprendidas dentro de los márgenes que el artículo 45.1 LOPD fija para las infracciones leves: de 900 a 40.000 euros. La graduación del importe de la sanción, dentro de la escala prevista para las infracciones leves (ex artículo 45.1 LOPD), ha de hacerse con arreglo a las circunstancias descritas en el artículo 45.4 LOPD. B. XFERA, tanto en sus alegaciones al acuerdo de inicio como en las alegaciones a la propuesta de resolución ha mostrado su rechazo con la valoración que de estas circunstancias se hizo en el acuerdo de inicio y en la propuesta de resolución a efectos de determinar el importe de la sanción, calificando esa valoración de “gravemente errónea y equivocada”. Así, rechaza que concurran como agravantes las circunstancias descritas en los apartados
50. c)y
51. d)del artículo 45.4 LOPD y solicita que se aprecien como atenuantes las recogidas en los apartados b); e); f);
52. h)e
53. i)del citado precepto. En relación con el apartado
54. b)- volumen de tratamientos efectuados- que se invoca como atenuante en consideración a que se han visto afectados por la conducta infractora los datos de una única persona, de la denunciante, advertir que, por razones lógicas, esta circunstancia sólo puede operar como agravante y no como atenuante. La vulneración de la normativa de protección de datos respecto a una única persona es presupuesto indispensable para que la conducta infractora exista. Será a partir de entonces cuando podrá valorarse, atendiendo al volumen de los datos que han sido objeto de tratamiento, si ese volumen es exponente de una mayor antijuridicidad o culpabilidad de la conducta infractora. Sobre la pretensión de que se estime como atenuante el apartado e), ausencia de beneficios, pues alega que no sólo no ha obtenido beneficios sino que ha resultado perjudicada por la suplantación de identidad, hemos traer a colación la Sentencia de la Audiencia Nacional, Sala de lo Contencioso Administrativo, de 17/04/2018 (Rec. 254/2017) que rechazó la pretensión de la demandante, sancionada por la AEPD, de que se estimara esta circunstancia en calidad de atenuante. La SAN argumenta que “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/29 atenuación de culpabilidad o antijuridicidad de su conducta”. Este mismo espíritu es el que recoge la SAN de 31/03/2017 (Rec. 845/2015) Respecto al apartado
55. f)del artículo 45.4 LOPD, “grado de intencionalidad”, hemos de decir que esa circunstancia, pese a su tenor literal, se refiere a la culpabilidad en sentido amplio, comprensiva tanto del dolo, la culpa e incluso la culpa levísima. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “(…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Así pues, habiendo quedado acreditada la grava falta de diligencia de XFERA con ocasión de las conductas infractoras de las que es responsable no procede estimar tal circunstancia en calidad de atenuante. Tampoco procede estimar como atenuantes las circunstancias recogidas en los apartados
56. h)e
57. i)del artículo 45.4 LOPD. Con relación a esta última no hay elementos de juicio para afirmar que el protocolo que la entidad ha declarado tener implementado para la contratación online tuviera virtualidad para cumplir su objetivo. A tenor de esas estipulaciones XFERA MÓVILES no exige que se le remita la documentación acreditativa de la identidad del contratante limitándose el contrato a prever que los documentos (los albaranes) se mantengan en poder del proveedor de servicios contratado durante cinco años y que XFERA podrá si lo desea acceder a ellos. Estipulación que explica que XFERA no tenga en su poder la documentación que acredita el cumplimiento diligente de la normativa de protección de datos más aún cuando en la fecha en la que pidió a la proveedora de servicios que le hiciera entrega de los documentos había vencido el plazo durante el que estaba obligada a conservarla sin que ese extremo hubiera resuelto a XFERA a poner fin al citado tratamiento o a recabar anticipadamente copia de los documentos que tiene la obligación de conservar. A propósito de la circunstancia del apartado h, del artículo 45.4 LOPD, no puede afirmarse que la afectada no hubiera no haya sufrido perjuicios, lo que es imprescindible si pretendemos estimarla como atenuante. Basta recordar que la denunciante conoció su inclusión en ficheros en 2017 cuando le denegaron una financiación; que ha estado incluida en dos ficheros de morosidad durante más de cuatro años y que como ha señalado la Audiencia Nacional, SAN 16/02/2002, (Rec 1144/1999) “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” En la valoración del importe de las sanciones esta Agencia estima la concurrencia de las siguientes circunstancias agravantes: -“El carácter continuado de la infracción”, apartado a): Circunstancia que es de aplicación en aquellos casos en los que la infracción cometida tenga carácter permanente, naturaleza que la Audiencia Nacional atribuye C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/29 tanto a la infracción del principio de consentimiento como de calidad de los datos. En el supuesto analizado esta agravante tiene una especial cualificación por el prolongado periodo de tiempo durante el que persistieron las conductas infractoras. En ese sentido el tratamiento de los datos personales de la afectada por YOIGO, sin legitimación para ello, se inició el 25/09/2012, fecha en la que dio de alta a su nombre la línea móvil, y finalizó, como muy pronto, el 22/10/2017 pues hasta esa fecha no se dieron de baja de BADEXCUG los datos de la denunciante asociados a la deuda a la que era ajena. Así pues, el tratamiento de datos por la denunciada vulnerando el principio del consentimiento se mantuvo durante más de cinco años. Por lo que respecta a la infracción del principio de calidad de los datos recordar que XFERA mantuvo incluidos en los ficheros de solvencia ASNEF y BADEXCUG los datos de la denunciante asociados a una deuda que no le pertenecía durante más de cuatro años: desde la fecha de inclusión, el 14/02/2013, hasta al menos el 22/10/2017. El prolongado periodo de tiempo durante el que YOIGO trató sin legitimación los datos personales de la denunciante y los mantuvo en un fichero de solvencia sin cumplir los requisitos a los que el RLOPD supedita tal inclusión, es la razón por la cual se atribuye a esta circunstancia agravante una especial relevancia y significación en la determinación del importe de la sanción. - “La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) La actividad empresarial desarrollada por la denunciada exige, por su propia naturaleza, un continuo tratamiento de datos de carácter personal de los clientes. - “El volumen de negocio o actividad del infractor” (apartado d,). XFERA MÓVILES es una gran empresa del sector de telecomunicaciones con implantación en todo el territorio nacional. Sobre tal cuestión basta indicar que estamos ante un “hecho notorio” por lo que no es preciso prueba alguna. En este sentido ya en el año 2014 la cifra de negocio de la operadora superaba los cien millones de euros por lo que formaba parte del grupo de 14 operadoras nacionales designadas por la CNMC para participar en la financiación del servicio universal de telecomunicaciones. - “La reincidencia por comisión de infracciones de la misma naturaleza” (apartado g): Precepto que ha de integrarse con la norma del artículo 29.3.
58. d)de la Ley 40/2015, de Régimen Jurídico del Sector Público, que al referirse a la aplicación del principio de proporcionalidad advierte que se deberán tomar en consideración, entre otros criterios, “La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa”. Sobre este particular podemos recordar que YOIGO ha sido sancionada por la AEPD en diversas ocasiones. Así, por infracción del artículo 6.1 LOPD en los expedientes sancionadores PS/0005/2017 (resolución de fecha 14/07/2017) y PS/318/2017 (resolución de fecha 16/01/2018). Por vulneración del artículo 4.3 LOPD en los procedimientos PS/400/2016 (resolución de fecha 26/01/2017), PS/0097/2017 (resolución firmada el 11/09/2017) y PS/318/2017 (resolución de fecha 16/01/2018). Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/29 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad XFERA MÓVILES, S.A., con NIF A82528548, por una infracción del artículo 6 de la LOPD, tipificada como infracción grave en el artículo 44.3.
59. b)de la LOPD, una multa de 40.000 euros (cuarenta mil euros), de conformidad con lo establecido en los artículos 45.5. y 45.1 la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad XFERA MÓVILES, S.A., con NIF A82528548, por una infracción del artículo 4.3, en relación con el 29.4, de la LOPD, y en relación asimismo con el artículo 38.1.
60. a)del RLOPD, tipificada como infracción grave en el artículo 44.3.
61. c)de la LOPD, una multa de 40.000 euros (cuarenta mil euros), de conformidad con lo establecido en los artículos 45.5. y 45.1 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
62. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/29 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
63. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es