PS-00172-2021

1/6  Procedimiento Nº: PS/00172/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 24 de noviembre de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Vodafone Servicios, S.L.U. con NIF B87539284 (en adelante, la reclamada o Vodafone). El reclamante manifiesta que Vodafone había incluido de forma indebida sus datos personales en los ficheros de morosidad, en concreto, en el fichero de solvencia patrimonial y crédito Asnef, a pesar de haber pagado la deuda dentro del plazo concedido al efecto por la reclamada. Aporta la siguiente documentación: - Carta de Vodafone de fecha 17 de noviembre de 2020 en la que se le requiere el pago de XX,XX euros advirtiendo de la posibilidad de inclusión de sus datos personales en el fichero Badexcug. Carta de Asnef-Equifax de fecha 19 de noviembre de 2020 en la que se le comunica que con fecha 18 de noviembre de 2020 la reclamada ha solicitado el alta en el fichero Asnef por un importe impagado de XX,XX euros. Acreditación del pago. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó a la parte reclamada el día 22 de enero de 2021, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), en las actuaciones con referencia E/00268/2021. La notificación se realiza electrónicamente, y figura entregada en la misma fecha. TERCERO: De conformidad con lo dispuesto en el artículo 65.2 de la Ley Orgánica 3/2018, de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), en fecha 13 de abril de 2021 se firma el acuerdo de admisión a trámite de la reclamación. CUARTO: Con fecha 23 de abril de 2021, la reclamada manifiesta que procede a remitir carta al reclamante informándole de la investigación realizada por Vodafone. Adjuntando como documento número 1 la mencionada carta, poniendo en conocimiento del reclamante que sus datos no figuran incluidos en ningún fichero de solvencia patrimonial negativa y que su cuenta de cliente consta sin servicios activos y al corriente de pago en los sistemas de Vodafone. QUINTO: Con fecha 9 de junio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 por la presunta infracción del Artículo 5.1

1. d)del RGPD, en relación con el artículo 20.1
2. d)de la LOPDGDD tipificada en el Artículo 83.5
3. a)del RGPD. SEXTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 30 de junio de 2021, formuló, en síntesis, las siguientes alegaciones: “Sobre la supuesta inclusión en el fichero Asnef, el reclamante mantuvo una deuda pendiente de pago por el importe de XX,XX€. Como consecuencia de dicha deuda, el 14 de septiembre de 2020 se le remitió una carta de Equifax informándole de que, si no pagaba en el plazo establecido, se le incluiría en el fichero Asnef. Se adjunta como Documento número 2 evidencia del envío de la carta por Equifax. Al no recibir pago en el plazo previsto, con fecha 18 de noviembre de 2020 se le incluyó en el fichero Asnef. Por otro lado, con fecha 17 de noviembre de 2020 se le remite una carta por parte de Experian, informando al interesado de que, si no paga en el plazo establecido, se le incluirá en el fichero Badex. El reclamante efectuó el pago de la deuda el día 23 de noviembre de 2020, fecha en la cual se anotó dicho pago actualizando los sistemas con el fin de eliminar la deuda del reclamante. Por este motivo, no se le incluyó en el fichero BADEX y se solicitó la baja del reclamante en el fichero Asnef, haciéndose efectiva en fecha 26 de noviembre de 2020. El Reclamante, tal y como indica él mismo en sus alegaciones, realizó el pago de la cantidad adeudada el día 23 de noviembre de 2020, fecha en la que ya había transcurrido el plazo ofrecido en el procedimiento iniciado por Equifax (14 de septiembre de 2020). Por esta razón, se incluyó al Reclamante en el fichero Asnef. Por el contrario, el pago de esta cantidad se hizo en plazo respecto del procedimiento iniciado por Experian, razón por la cual en ningún caso se incluyeron sus datos en el fichero BADEX. Como consecuencia del pago realizado por el Reclamante el 23 de noviembre de 2020, desde Vodafone se solicitó su baja del fichero ASNEF, haciéndose efectiva en fecha 26 de noviembre de 2020”. QUINTO: Con fecha 12 de julio de 2021, se notificó a la reclamada la apertura del período de pruebas, teniéndose por incorporadas todas las actuaciones previas, así como los documentos aportados por la entidad reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: El 24 de noviembre de 2020, el reclamante manifiesta que la reclamada le había incluido de forma indebida sus datos personales en el fichero de información crediticia Asnef, a pesar de haber pagado la deuda el 23 de noviembre de 2020 dentro del plazo concedido al efecto. SEGUNDO: La notificación de requerimiento de pago fue llevada a cabo con fecha 14 de septiembre de 2020 por Vodafone, en la que se le reclamaba el pago de la deuda contraída por el reclamante por importe de XX,XX euros y se advertía de que sus datos podrían incluirse en el fichero Asnef de mantenerse la situación de impago, dando un plazo inferior a 30 días naturales a contar desde la fecha de la carta (14 de septiembre de 2020) para que regularizara la situación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 TERCERO: Consta transferencia realizada por el reclamante el 23 de noviembre de 2020 a Vodafone por un importe de XX,XX euros, y remisión del justificante de pago de la operación realizada a la reclamada, en la misma fecha. CUARTO: Consta que la fecha alta y baja en Asnef fue el 18 y 26 de noviembre de 2020. QUINTO: Se constata que el reclamante pago la deuda fuera del plazo concedido, el 23 de noviembre de 2020, teniendo de plazo hasta el 14 de octubre de 2020. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) establece en su artículo 89.1 que se “resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las circunstancias siguientes:
4. a)La inexistencia de los hechos que pudieran constituir la infracción”. III Se imputa al reclamado la comisión de una infracción por vulneración del artículo 5 de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de “Exactitud”. El precepto dispone: “1. Los datos personales serán: (…)
5. d)“exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan (<<exactitud>>)” La LOPDGDD, en su artículo 20, bajo la rúbrica de “Sistemas de información crediticia” dispone: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
6. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
7. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
8. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
9. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
10. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
11. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
12. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. 3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia.” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
13. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes:
14. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”.” IV En el supuesto que nos ocupa, tras el estudio pormenorizado de los documentos obrantes en el presente procedimiento, y las alegaciones de la parte reclamada, debemos señalar que consta en el expediente que la notificación de requerimiento de pago fue llevada a cabo con fecha 14 de septiembre de 2020 por la reclamada, en la que se le reclamaba el pago de la deuda contraída por el reclamante por importe de XX,XX euros y se advertía de que sus datos podrían incluirse en el fichero Asnef de mantenerse la situación de impago, dando un plazo de 30 días naturales a contar desde la fecha de la carta (14 de septiembre de 2020) para que regularizara la situación. Por otra parte, consta transferencia realizada por el reclamante el 23 de noviembre de 2020 a Vodafone por un importe de XX,XX euros, y remisión del justificante de pago de la operación realizada a la reclamada, en la misma fecha. Se constata que la fecha alta y baja en Asnef fue el 18 y 26 de noviembre de 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Finalmente, hay que señalar que el reclamante pago la deuda fuera del plazo concedido, el 23 de noviembre de 2020, teniendo de plazo hasta el 14 de octubre de 2020. Por lo tanto, procede el archivo del presente procedimiento sancionador. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00172/2021, instruido a Vodafone Servicios, S.L.U. con NIF B87539284, por haber acreditado que el reclamante pago fuera del plazo concedido la deuda contraída. SEGUNDO: NOTIFICAR la presente resolución a Vodafone Servicios, S.L.U. con NIF B87539284. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es