1/7 - Procedimiento Nº: PS/00144/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR PAGO VOLUNTARIO En el procedimiento sancionador PS/00144/2019, instruido por la Agencia Española de Protección de Datos, a la entidad VODAFONE ESPAÑA SAU, (en adelante, “la entidad reclamada”), vista la denuncia presentada por Dª A.A.A., (en adelante, “la reclamante”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 05/12/18, tuvo entrada en esta Agencia escrito presentado por la reclamante, a través de la Consejería de Sanidad de la Comunidad Autónoma de Castilla la Mancha (CCM), en la que expone, entre otras, que: “Se ha puesto en contacto con la compañía VODAFONE y la han confirmado que tiene contratado a su nombre varios servicios con la entidad, los cuales NO había contratado. Solo coincide el nombre y el DNI”. Se aporta, entre otras, la siguiente documentación: Con fecha 22/08/18, denuncia ante la Guardia Civil de Torrijos (Toledo), por recibir constantes llamadas telefónicas de una asesoría jurídica reclamando el pago de una deuda por impago de los servicios de unas líneas telefónicas. Con fecha 14/09/18, denuncia ante la Consejería de Sanidad de la Comunidad Autónoma de Castilla la Mancha (CCM), por usurpación de identidad en la contratación de unas líneas de telefónica en la compañía VODAFONE. Con fecha 05/11/18, oficio de remisión de la denuncia interpuesta ante la Consejería de Sanidad de la CCM, a la compañía VODAFONE. Con fecha 09/11/18, contestación de la entidad a la Consejería de Sanidad de la CCM donde, entre otras, indica que: “con fecha 08/11/18 se ha procedido a la desactivación de los servicios contratados con la compañía; no obstante, el proceso de facturación es un proceso que detecta los consumos realizados y ofrece garantías de que los consumos que aparecen han sido efectuados desde la tarjeta SIM”, por ello, se confirma que la facturación hecha por la reclamante es correcta y aún tiene una deuda de 583,99 € pendiente de pago”. Aporta copia del contrato del Servicio Móvil y Condiciones Generales, realizado en el punto de venta OWUNISM1 (UNISOMO IBOUND) CIF A82365412, donde los datos indicados en el apartado de clientes coinciden con los datos de la reclamante. Los servicios contratados son: Fibra 50Mb; Portabilidad de línea fija y móviles (***TELEFONO.1; ***TELEFONO.2; ***TELEFONO.3 y ***TELEFONO.4); número de cuenta corriente de domiciliación bancaria “Bankia ***9330”; Todos ellos, sin ningún tipo de firma en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 la parte reservada de “firma cliente”, pero si firmado por D. B.B.B. y Dª C.C.C. en la parte reservada de “firma Vodafone”. Con fecha 13/07/18 Contrato de venta a plazos de un móvil marca “Samsung Galaxy A8”, asociado al número de teléfono ***TELEFONO.4, a nombre de la reclamante, sin firmar en la zona reservada para “firma del cliente”, pero si en la zona reservada de “firma Vodafone”, estando firmado por D. D.D.D. y Dª C.C.C.. Aporta copia de 7 facturas, del periodo comprendido entre el 08/05/18 y el 21/10/18, con un montante total de 657,36 euros. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por la reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD. Así, con fecha 08/01/19, se dirige un requerimiento informativo a la entidad VODAFONE. Sobre dicho requerimiento, El Servicio de Soporte de Notificaciones Electrónicas y Dirección Electrónica Habilitada, certifica que fue notificado el 08/01/19. No obstante, a fecha 08/04/19, la entidad reclamada, aún NO había enviado a esta Agencia, ningún tipo de información sobre el asunto. TERCERO: Con fecha 09/04/19, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos en el artículo 58.2 del RGPD y en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por la infracción del artículo 6 del RGPD tipificada en el artículo 83.5. del RGPD y considerada muy grave en el 72.1.
- b)de la LOPDGDD, argumentándolo, esencialmente en que: “la reclamante denuncia ante la Consejería de Sanidad de la Comunidad Autónoma de Castilla la Mancha una contratación fraudulenta, realizada con su nombre y DNI, de varios servicios de telefonía fija y móvil, en la compañía VODAFONE ESPAÑA SAU. Esta compañía, cuando tiene conocimiento de esta denuncia, el 08/11/18, procede a desactivar todos los servicios prestados a nombre de la reclamante, pero sigue manteniendo viva la deuda generada por el consumo de dichos servicios. Por otra parte, en las copias de los contratos aportados por la compañía VODAFONE, en su escrito de respuesta a la Consejería de Sanidad de la CACM., se observa que, el nombre y DNI de la reclamante figura en los datos de cliente, pero todos carecen de firma en la zona de “firma de cliente”. CUARTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 30/04/19, formuló, en síntesis, las siguientes alegaciones: “Vodafone quiere manifestar que, tras la recepción de este Acuerdo de Inicio comprobó que las alegaciones que fueron preparadas en contestación del requerimiento de información E/0001/2019 fueron presentadas a la Agencia el mismo día 8 de abril de 2019, en el Registro. Se adjunta copia de las mismas como Doc. 1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Vodafone es consciente de que estas alegaciones y la explicación de lo ocurrido se presentaron pasado el plazo concedido. Esto ocurrió así, como consecuencia del gran número de requerimientos que viene recibiendo desde la entrada en vigor del RGPD. Tras la recepción de dicho requerimiento, Vodafone volvió a analizar la reclamación y, en primer lugar, confirmó que los servicios se encontraban dados de baja desde el mes de noviembre de 2018 (tal y como ya se había informado a la Consejería de Sanidad de la Comunidad Autónoma de Castilla La Mancha), y asimismo, solicitó la anulación de la deuda que se había dejado pendiente. Esta resolución le fue comunicada a la Sra. A.A.A. mediante carta que se adjunta como Doc. 2, de fecha 4 de abril de 2019. Una vez que se ha puesto en conocimiento de la Agencia que la reclamación fue resuelta completamente (anulada la deuda e informada a la reclamante debidamente de ello), de conformidad con la documentación aportada en el requerimiento de información, la contratación efectuada a nombre de la reclamante tenía la apariencia de una contratación querida y además correcta y que mi representada desplegó la diligencia debida, es decir, la que puede serle requerida en procesos de contratación efectuados a través de medios a distancia, como en el caso que nos ocupa, donde la contratación se efectuó a través de una llamada recibida en nuestro call center, Unisono. En concreto, el alta de las líneas se produjo a través de una petición recibida por llamada y fueron activadas con fecha 26/04/18, resultando desactivadas posteriormente tras la reclamación en el mes de noviembre de 2018. Se adjuntan como Doc. 3, copia del contrato que no se encuentra firmado porque se genera automáticamente por la herramienta cuando se realiza una contratación a distancia a través de televenta, en cumplimiento de la normativa vigente. Asimismo, se adjunta como Doc. 4, las grabaciones de las que disponemos donde se efectúa la recapitulación de las contrataciones efectuadas, la primera de ellas, audible a partir del minuto 18:30 sobre la adquisición del terminal y la segunda, donde se recapitula la financiación del terminal, audible a partir del minuto 9. En la misma puede comprobarse que la persona aporta los datos de la contratación. Asimismo, se dispone de los albaranes de entrega de los terminales, Docs. 5-6. Por último, existían facturas con consumo, tal y como puede comprobarse de las facturas que se adjuntan como Doc. 7. Se adjunta como Doc. 8, un informe en el que se puede comprobar que incluso existen interacciones donde supuestamente la Sra. A.A.A. reclamaba la facturación de los servicios, no negando en ningún caso dicha contratación sino todo lo contrario, reafirmándose de la misma, lo cual resulta ser un indicio más que le hizo pensar que la contratación efectuada a su nombre era completamente correcta. Es evidente que, mi representada también fue víctima de un engaño por parte de un suplantador, no pudiendo serle achacada intencionalidad alguna en los hechos ni tampoco falta de diligencia porque mi representada solicitó la celebración de un contrato, realizó una grabación para confirmar la contratación y la financiación del terminal, dispone de los albaranes firmados como prueba de entrega de los terminales y además dispone de facturas con consumo y de interacciones en los sistemas acerca del servicio. Por ello, entiende que ha adoptado las medidas que pueden estar en su mano para evitar situaciones de fraude y que la contratación tiene apariencia de correcta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 En relación con estos hechos, mi representada quiere reiterar por tanto la falta de intencionalidad infractora que rige los actos llevados a cabo por Vodafone en el expediente que nos ocupa. En este sentido, es relevante resaltar la derogación del artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Su sustitución por el artículo 28.1 de la Ley 40/2015 de 1 de octubre, de Régimen Jurídico del Sector Público elimina la mención a la “simple inobservancia” haciendo prevalecer la regla “nullum poena sine culpa”. Lo anterior, no viene sino a poner de manifiesto la falta de cabida de la responsabilidad sin culpa, principio que rige o ha de regir en el ámbito administrativo sancionador, pues en la medida que es manifestación de “ius puniendi” del Estado, resulta inadmisible en nuestro ordenamiento jurídico un régimen de responsabilidad sin culpa. En este sentido, indica Sentencia del Tribunal Constitucional número 219/1988, y ello por resultar inadmisible un régimen de responsabilidad objetiva o sin culpa como igualmente viene a señalar la Sentencia 246/1991. No podrá ser sancionada mi representada por infracción del artículo 6.1. de la LOPD, sin que se haga referencia al elemento subjetivo del tipo, no demostrándose ni dolo, ni culpa, ni negligencia. Adicionalmente, teniendo en cuenta la especial naturaleza del Derecho sancionador que determina la imposibilidad de imponer sanciones sin tener en cuenta la voluntad del sujeto actor o los factores que hayan podido determinar el incumplimiento de una obligación legal, mantiene la improcedencia de la imposición de sanción alguna. Así, indica el Tribunal Supremo en Sentencia de 21 de diciembre de 1998 (RJ1998/10226) (Recurso de Apelación 9074/1991), 27 enero 1996 (RJ 1996\926) (Recurso de Apelación 640/1992) y 20 enero 1997 (RJ 1997\257) (Recurso de Apelación 2689/1992)". También señala el TS de 20 de julio de 1990, Ar. 6163, Pues bien, como puede apreciarse, en la conducta descrita no concurre intencionalidad alguna, ni a título de dolo, ni a título de culpa. Por consiguiente, no existiendo culpabilidad alguna, resulta de todo punto improcedente imponer sanción alguna a mi representada, en cuanto falta uno de los requisitos esenciales del Derecho Administrativo sancionador. Por todo ello, entiende que lo procedente es que la AEPD acuerde el sobreseimiento del presente expediente y el archivo de las actuaciones ya que los hechos se han producido sin intencionalidad alguna por parte de mi representada y parece que debido a algún tipo de error. Subsidiariamente y para el caso de que a pesar de las explicaciones anteriormente facilitadas, la Agencia entendiera que mi representada es merecedora de una sanción por la comisión de una infracción del art. 6.1. del RGPD, la cuantía de dicha sanción deberá moderarse, imponiéndose en su cuantía mínima, teniendo en cuenta las siguientes circunstancias recogidas en el art. 83.2 del RGPD: Se solicita, por tanto, acordar: El sobreseimiento del expediente, con el consiguiente archivo de las actuaciones. Subsidiariamente respecto de lo pretendido en el número 1, imponer a mi representada las sanciones por infracciones leves en su grado mínimo. Subsidiariamente respecto de lo pretendido en el número 2, imponer a mi representada las sanciones por infracciones graves en su grado mínimo”. QUINTO: Con fecha 13/05/19, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 por la reclamante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/0001/2019 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00144/2019, presentadas por la entidad. SEXTO: Con fecha 05/06/19, se notifica la propuesta de resolución sancionadora consistente en que por parte de la Directora de la Agencia Española de Protección de Datos se sancione a la entidad reclamada por infracción del art 6.1 del RGPD, tipificada como muy grave a efectos de prescripción, en el artículo 72.1.
- b)de LOPDGDD, con multa de 120.000 euros, de conformidad con lo establecido en el artículo 83.5 del citado RGPD, argumentándolo en que: “En primer lugar, esta Agencia requirió a la entidad reclamada informe sobre los hechos denunciados, el 08/01/19, concediéndole un plazo de un mes para ello, pero no es hasta el 08/04/19 (3 meses después), cuando entidad envía la información requerida, por lo que, no ha sido posible tomar en consideración dicha información al haberla remitido fuera de plazo. No obstante, se ha podido constatar que, la reclamante no era cliente de la compañía y que, según denuncias interpuestas ante la Guardia Civil y la Consejería de Sanidad de la CCM, en abril de 2018 fue objeto de un fraude en la usurpación de sus datos personales al utilizarlos para dar de alta 4 líneas de teléfono y la compra de 2 terminales móviles en la compañía VODAFONE. VODAFONE tuvo conocimiento oficial de la denuncia por fraude el 05/11/18 a través de la Consejería de Sanidad de la CCM, aunque la reclamante indica que meses antes ya se había puesto en contacto con la compañía para denunciar los hechos. Pues bien, VODAFONE en su respuesta de fecha 09/11/18, a la Consejería de Sanidad de la CCM, reconoce el fraude, al indicar que cancela las líneas dadas de alta a nombre de la reclamante, pero sigue realizando un tratamiento irregular de los datos personales al mantener viva la deuda de 583,99 euros a su nombre, pues se lo sigue reclamando. VODAFONE sigue realizando un tratamiento irregular de los datos personales de la reclamante, al menos hasta el 04/04/19 (5 meses después), cuando, como consecuencia de recibir el requerimiento de esta Agencia, procede a enviar escrito de reconocimiento de fraude y cancelación de deuda a la reclamante. No obstante, no ha quedado acreditado que la compañía haya cancelado y borrado los datos personales de sus bases de datos aún. Por lo que se refiere a las grabaciones presentadas por la compañía en las alegaciones, indicar que dichas grabaciones NO son grabaciones de contratación y/o portabilidad de servicios o de verificación de datos, que deberían haberse realizado en el mes de abril/mayo de 2018, sino que son las grabaciones de la compra de los terminales móviles, realizadas, según se aprecia en ellas, en julio de 2018. Indicar además que, en dichas grabaciones existen errores en los dígitos indicados del DNI y del número de teléfono, que no son tenidos en cuenta por el representante de la compañía. En definitiva, en tanto que la entidad reclamada no ha demostrado la diligencia debida a la hora de regularizar la situación fraudulenta existente, según exige el artículo 6 del RGPD, se puede declarar la existencia de una infracción al RGPD, en dicho artículo, lo que motiva suficientemente el presente procedimiento sancionador”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 SÉPTIMO: Notificada la propuesta de resolución, la entidad reclamada presenta escrito, con fecha 20/06/19, indicando en el mismo: “Que a la luz de la Propuesta de Resolución notificada, Vodafone ha procedido a ordenar el pago de los 96.000€ correspondientes a la infracción inicialmente prevista pero una vez aplicada la reducción asociada al pronto pago. En virtud de lo expuesto, SOLICITO a la AEPD, se tenga por presentado este escrito con las manifestaciones en él contenidas, se sirva admitirlo procediendo a dictar la correspondiente resolución de terminación del procedimiento por pago voluntario, de acuerdo a los términos previstos en la Propuesta de Resolución”. OCTAVO: Con fecha 05/07/19, la entidad reclamada ha procedido al pago de la sanción en la cuantía de 96.000 euros, haciendo uso de la reducción previstas en el acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento: PS/00144/2019, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA SAU. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es