PS-00143-2016

1/9 Procedimiento Nº PS/00143/2016 RESOLUCIÓN: R/00987/2016 En el procedimiento sancionador PS/00143/2016, instruido por la Agencia Española de Protección de Datos a la entidad IBERBANDA S.A.U., vista la denuncia presentada por Dña. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 7 de abril de 2015, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo, la denunciante) en el que declara que ha comprobado que la página web guias11899.es publica su teléfono particular sin su consentimiento para publicar sus datos personales. En la documentación aportada se verifica que en fecha 28/03/2007 ejercitó ante su operador IBERBANDA, S.A.U. (en lo sucesivo, el denunciado) su derecho a la exclusión de sus datos de guías telefónicas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realiza visita de Inspección, levantando Acta E/04137/2015/I-1 al denunciado, teniendo conocimiento de los siguientes extremos: 1. La citada entidad es una operadora de telecomunicaciones que comenzó a operar en el año 2000 y cuenta en la actualidad con un total de 65 empleados. Su negocio se centra en ofrecer servicios de telecomunicaciones en municipios de menos de 1000 habitantes. Los clientes contratan los servicios de la entidad utilizando tres canales: por medio de un agente (suscribiendo un contrato en papel), por medio del portal de Internet o por vía telefónica. Para recabar la autorización para la inclusión de los datos de sus clientes en guías telefónicas, en el contrato en papel, se debe aceptar esta circunstancia, si el contrato es telefónico el consentimiento queda grabado y si el contrato se hace on line, el consentimiento se registra directamente en el sistema de información. Los clientes pueden revocar el consentimiento a la publicación de sus datos en guías por medio del canal on line, telefónicamente o por correo postal y electrónico. En el año 2009 se produjo una migración de sistemas y todos los clientes que no habían dado su consentimiento a publicación en guías fueron tenidos en cuenta de forma específica. 2. Sobre el sistema de información de la entidad se realizan las siguientes consultas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es relacionadas con la denunciante. 2.1. La cliente contrató los servicios de la entidad en fecha 26/03/2004. A la vista de esta información, los representantes de la entidad manifiestan que sus datos fueron migrados en el año 2009 respetando las opciones de no estar incluida, en guías ni recibir información comercial. Según consta en los ficheros de la entidad, con fecha 26/04/2007 se atendió su derecho a la exclusión de sus datos de repertorios telefónicos aportando copia del ejercicio de derecho y la respuesta remitida. 2.2. En el sistema de información consta que con fecha 20/07/2013 la denunciante actualizó los servicios que tenía contratados con la entidad y se dio de alta en el canal on line. A la vista de esta documentación, los representantes de la entidad realizan las siguientes manifestaciones:  Para darse de alta en el canal on line tuvo que aportar su NIE, código postal y cuatro dígitos de su cuenta corriente, asignándole una contraseña para operar.  Una vez dentro del sistema, la denunciante tuvo acceso a la situación en que se encontraba su contrato, incluido el que sus datos estaban excluidos de las guías telefónicas. Al actualizar sus datos y condiciones de contratación, de forma activa, la denunciante tuvo que seleccionar la casilla para autorizar la comunicación de sus datos al SGDA (Sistema de Gestión de Datos de Abonado, gestionado por la CNMC).  El sistema de información que da acceso al canal on line, está situado en la misma máquina que el fichero de clientes y conectado directamente al mismo, de modo que cualquier acción que se realiza sobre el canal on line se refleja de forma directa e instantánea en el fichero de clientes. Por este motivo no se genera ninguna información intermedia y no existe un registro de actualizaciones que pueda aportarse a la presente inspección. 2.3. Los inspectores actuantes solicitan acceso al registro que refleja las opciones de inclusión en guías de la denunciante se verificándose que a día de hoy figura como “NO inclusión en guías”. A la vista de esta documentación, los representantes de la entidad manifiestan que durante la investigación interna de la reclamación presentada ante la Agencia Española de Protección de Datos, con fecha 18/01/2016 se ha procedido a darle de baja, aportando impresión de pantalla de la situación anterior, donde se verifica figuraba como “SI inclusión en guías”. 2.4. Se solicita acceso a los ficheros enviados al SGDA, realizándose sobre éstos las siguientes comprobaciones: 2.4.1.En el fichero con los datos totales enviados por el operador 12 (Iberbanda) en fecha 23/04/2013 se verifica que no aparecen datos relacionados con la denunciante. 2.4.2.En el fichero con las actualizaciones enviados por el operador 12 (Iberbanda) en fecha 17/07/2013 se verifica que no aparecen datos relacionados con la denunciante. 3/9 2.4.3.En el fichero con las actualizaciones enviados por el operador 12 (Iberbanda) en fecha 01/08/2013 se verifica que figuran los datos de la denunciante. A la vista de esta documentación los representantes de la entidad manifiestan que en fecha 23/04/2013, cuando se envió el ultimo fichero con la totalidad de abonados que han consentido su inclusión en guía, antes del alta en el canal on line de la denunciante, no figuraban sus datos. Tampoco hubo actualización de los datos de la reclamante en fecha 17/07/2013. Sin embargo en fecha 01/08/013 (después de haberse dado de alta en el canal on line en fecha 20/07/2013) sí que figuran sus datos para publicarse en guías. Por tanto fue la actuación de la afectada en su conexión al canal on line para actualizar sus datos la que de forma voluntaria aceptó su inclusión en guías. 2.5. Se realiza una consulta al registro de contactos mantenidos con la cliente verificándose que existen 7 contactos realizados con fecha posterior al 20/07/2013 y en ninguno de ellos motivados por la inclusión en guías telefónicas. TERCERO: En fecha 17/03/2016 la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento sancionador al denunciado por la posible infracción del artículo 48.3.

1. c)de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), tipificada como leve en el artículo 78.11 de la citada ley pudiendo ser sancionada con multa de hasta 50.000 €, de acuerdo con el artículo 79.
2. d)de la LGT. CUARTO: Notificado el citado acuerdo de inicio, el denunciado presentó escrito de alegaciones comunicando: <<…En este punto debemos indicar que, sin perjuicio del registro en el fichero de clientes de IBERBANDA, de la elección de la denunciante para su inclusión de sus datos en guías, no es posible aportar por parte de mi representada la información que demuestre la interacción de la Sra. A.A.A. en el canal online (…) Además, habrá que ser tenido en cuenta que mi representada no ha obtenido beneficio ninguno, ni se han causado daños. Por lo tanto, interesamos de esa Agencia la aplicación del artículo 8 del Real Decreto estableciendo la sanción aplicando la cuantía mínima correspondiente a la infracción del artículo 48.3.
3. c)de la LGT. En este sentido debemos recordar a esa Agencia las resoluciones dictadas en los procedimientos sancionadores PS/00566/2011, PS/00039/2011, PS/323/2013 entre otras. En las que se procede por parte de esa Agencia a reducir la sanción que correspondería por el tipo de infracción teniendo en cuenta que las empresas denunciadas han reconocido su culpabilidad en los hechos en aplicación del artículo 8 del Real Decreto 1398/1993…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es QUINTO: Al haber reconocido la entidad denunciada los hechos que se le imputan, se procede a elevar al Director de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS PRIMERO: Con fecha 7 de abril de 2015, tuvo entrada en esta Agencia escrito de la denunciante en el que declara que ha comprobado que la página web guías11899.es publica su teléfono particular sin su consentimiento para publicar sus datos personales. En la documentación aportada se verifica que en fecha 28/03/2007 ejercitó ante su operador (el denunciado) su derecho de oposición a la publicación de sus datos en guías telefónicas (folios 1 a 17 y 23 a 44). SEGUNDO: El denunciado es un operador de telecomunicaciones que comenzó a operar en el año 2000. Su negocio se centra en ofrecer servicios de telecomunicaciones en municipios de menos de 1000 habitantes. La cliente contrató los servicios de la entidad en fecha 26/03/2004. El denunciado manifiesta que los datos fueron migrados en el año 2009 respetando las opciones de no estar incluida, en guías ni recibir información comercial. Según consta en los ficheros de la entidad, con fecha 26/04/2007 se atendió su derecho de oposición a la inclusión de sus datos en repertorios telefónicos aportando copia del ejercicio de derecho y la respuesta remitida. En el sistema de información consta que con fecha 20/07/2013 la denunciante actualizó los servicios que tenía contratados con la entidad y se dio de alta en el canal on line. La entidad manifiesta que en fecha 23/04/2013, cuando se envió el ultimo fichero con la totalidad de abonados que han consentido su inclusión en guía, antes del alta en el canal on line de la denunciante, no figuraban sus datos. Tampoco hubo actualización de los datos de la reclamante en fecha 17/07/2013. Sin embargo en fecha 01/08/013 (después de haberse dado de alta en el canal on line en fecha 20/07/2013) sí que figuran los datos de la denunciante para publicarse en guías. La entidad denunciada manifiesta que durante la investigación interna de la reclamación presentada ante la Agencia Española de Protección de Datos, con fecha 18/01/2016 se ha procedido a dar de baja los datos de la denunciante de Guías de Abonados (folios 49 a 65). FUNDAMENTOS DE DERECHO 5/9 I De conformidad con lo dispuesto en el artículo 84.3 de la LGT, se atribuye a la Agencia Española de Protección de Datos la facultad para imponer las sanciones establecidas por la vulneración de los derechos de los usuarios finales, reconocidos en el artículo 48 de la citada LGT. II El artículo 8 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora aprobado por Real Decreto 1398/93, de 4 de agosto, dispone: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III La LOPD establece en su artículo 28.4 que “Los datos que figuren en las guías de telecomunicaciones disponibles al público se regirán por su normativa específica”. Este reenvío a la “normativa específica” conducía al examen de la Ley 32/2003, General de Telecomunicaciones, de 3 de noviembre. Esta Ley profundizó en la línea marcada por la Ley General de Telecomunicaciones 1/1998 y estableció en su artículo 38.6 que la elaboración y comercialización de guías de abonados a los servicios de comunicaciones electrónicas y la prestación de servicios de información sobre ellos se realizaría en régimen de libre competencia, garantizando en todo caso a los abonados el derecho a la protección de sus datos personales, incluido el de no figurar en dichas guías. El desarrollo reglamentario de la Ley 32/2003 se efectuó, entre otras disposiciones, por el Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios, aprobado por Real Decreto 424/2005, de 15 de abril. El artículo 67 del citado Reglamento indicaba: “Para que los datos correspondientes a un abonado a los que se refiere el artículo 30.4 sean incluidos por primera vez en algún tipo de guía o facilitados a otra entidad para su inclusión en ella o para la prestación de servicios de información o de consulta sobre ella, será preciso el consentimiento expreso de dicho abonado. A estos efectos, se entenderá que existe consentimiento expreso de un abonado cuando el operador le solicite su consentimiento para la inclusión de tales datos, con indicación expresa de cuáles serán éstos, el modo en que serán incluidos en la guía y su finalidad, y este le responda dando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es su aceptación. También se producirá cuando este se dirija por escrito a su operador solicitándole que sus datos figuren en la guía. Si el abonado no hubiera dado su consentimiento expreso, se entenderá que no acepta que se publiquen en la guía correspondiente sus datos…..”(El subrayado es de la AEPD). A tenor de la citada disposición, la inclusión en algún tipo de guía de los datos de un abonado exigía contar con su consentimiento expreso. De modo que si faltaba dicho consentimiento –de cuya existencia el operador telefónico tenía la carga de la prueba- la publicación de los datos del abonado en una guía o repertorio telefónico constituía una infracción del artículo 11.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
4. k)de la citada norma, en tanto había existido una cesión sin consentimiento de sus datos de carácter personal. Sin embargo, con posterioridad, ha entrado en vigor la actual Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT) que reconoce el derecho de sus abonados a no figurar en guías. Así, la L.G.T. establece en el artículo 48.3: “Respecto a la protección de datos personales y la privacidad en relación con las guías de abonados, los usuarios finales de servicios de comunicaciones electrónicas tendrán los siguientes derechos:
5. a)A figurar en las guías de abonados.
6. b)A ser informados gratuitamente de la inclusión de sus datos en las guías, así como de la finalidad de las mismas, con carácter previo a dicha inclusión.
7. c)A no figurar en las guías o a solicitar la omisión de algunos de sus datos, en la medida en que tales datos sean pertinentes para la finalidad de la guía que haya estipulado su proveedor.” El régimen jurídico introducido por la LGT artículo 48.3.
8. c)reconoce a los usuarios finales el derecho “a no figurar en las guías”. Esto significa que los abonados tienen derecho a comunicar a su operadora que no desean que sus datos personales sean publicados en guías y repertorios de abonados y manifestada esa oposición, el operador deja de estar legitimado para la inclusión de los datos del abonado en guías. En el presente caso la denunciante comunicó al denunciado que no deseaba que sus datos se publicaran en guías de abonados en el año 2007. Así las cosas, de las circunstancias expuestas se infiere que la denunciante ejerció su derecho a no figurar en guías ante el denunciado, derecho que ya se encontraba reconocido en la Ley 32/2003 al disponer en su artículo 38.6 lo siguiente: “…La elaboración y comercialización de las guías de abonados a los servicios de comunicaciones electrónicas y la prestación de los servicios de información sobre ellos se realizará en régimen de libre competencia, garantizándose, en todo caso, a los abonados el derecho a la protección de sus datos personales, incluyendo el de no figurar en dichas guías…” IV 7/9 Los hechos probados suponen la comisión por parte del denunciado de una infracción del artículo 48.3.
9. c)de la LGT, recogido en su Título III, que señala que: “Respecto a la protección de datos personales y la privacidad en relación con las guías de abonados, los usuarios finales de los servicios de comunicaciones electrónicas tendrán los siguientes derechos: (…)
10. c)A no figurar en las guías o a solicitar la omisión de algunos de sus datos, en la medida en que tales datos sean pertinentes para la finalidad de la guía que haya estipulado su proveedor”. Infracción tipificada como leve en el artículo 78.11 de dicha norma, que considera como tal: “El incumplimiento de las obligaciones de servicio público, de las obligaciones de carácter público y la vulneración de los derechos de los consumidores y usuarios finales según lo establecido en el Titulo III de la Ley y su normativa de desarrollo”. Infracción que puede ser sancionada con multa de hasta 50.000 €, de acuerdo con el artículo 79.
11. d)de la citada LGT. V El artículo 80 de la LGT para la determinación de la cuantía de la sanción, establece: “…1. La cuantía de la sanción que se imponga, dentro de los límites indicados, se graduará teniendo en cuenta, además de lo previsto en el artículo 131.3 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las administraciones públicas y del Procedimiento Administrativo Común, lo siguiente:
12. a)La gravedad de las infracciones cometidas anteriormente por el sujeto al que se sanciona.
13. b)La repercusión social de las infracciones.
14. c)El beneficio que haya reportado al infractor el hecho objeto de la infracción.
15. d)El daño causado y su reparación.
16. e)El cumplimiento voluntario de las medidas cautelares que, en su caso, se impongan en el procedimiento sancionador.
17. f)La negativa u obstrucción al acceso a las instalaciones o a facilitar la información o documentación requerida.
18. g)El cese de la actividad infractora, previamente o durante la tramitación del expediente sancionador…” En el presente caso procede la aplicación de la LGT como se recoge en los fundamentos de la presente resolución que tipifica los hechos que se imputan al denunciado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es como infracción leve, debiendo ser graduada la sanción de acuerdo con los criterios que señala el citado art. 80 de la LGT. Habida cuenta de que ha quedado acreditado, la ausencia de beneficio para el denunciado y que este ha reconocido su culpabilidad, por todo ello procede imponer una multa de 4.000 €. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad IBERBANDA S.A.U., por una infracción del artículo 48.3.
19. c)de la LGT, tipificada como leve en el artículo 78.11 de la citada ley, una sanción de 4000 € (cuatro mil euros) de conformidad con lo establecido en el artículo 79.d). SEGUNDO: NOTIFICAR la presente resolución a IBERBANDA S.A.U., y a Dña. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. 9/9 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es