PS-00175-2015

1/37 Procedimiento Nº PS/00175/2015 RESOLUCIÓN: R/02359/2015 En el procedimiento sancionador PS/00175/2015, instruido por la Agencia Española de Protección de Datos a las entidades VODAFONE ESPAÑA, S.A.U., TELENET CENTRAL LOGISTICA, S.A., PAINT TECHNOLOGY PROJECT, S.L. y SERVICIOS TELEFONICOS DE AUDIOTEX, S.L., vista la denuncia presentada por DÑA. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: con fecha 02/10/2014 y 20/02/2015, tuvieron entrada en la Agencia Española de Protección de Datos sendos escritos de Dña. A.A.A. (en lo sucesivo la denunciante) en los que manifiesta que desde hace meses le están enviando mensajes al nº ***TEL.1 con el propósito de que llame al número 807*****1, al que llamó pensando que se trataba de “ASNEF” pero resultó falso. Añade que desconoce quiénes eran los remitentes. Aporta factura de la compañía Pepemobile, S.L. (en lo sucesivo PEPEPHONE), de fecha de emisión el 31/07/2013, correspondiente a los servicios de las líneas ***TEL.1 y ***TEL.2, en la que consta dos llamadas al nº 807*****1 realizadas el día 24/07/2013, a las 16:58:34 y a las 17:01:40 horas, con una duración de 02:52 y 02:22. Aporta con el escrito de denuncia capturas de pantalla de un terminal, en las que figuran 6 mensajes SMS con los siguientes textos:  Recibido a las 12:38:04 horas del día 18/09/2014; remitente +34***TEL.3; Publi: YA LO TENEMOS PREPARADO PARA SACARTE DE LOS FICHEROS DE MOROSIDAD RAI/ASNEF POR FAVOR LLAMANOS AHORA PARA CONTINUAR TU GESTOR TE ESPERA 807*****2 may18.  Recibido a las 20:18:16 horas del día 19/09/2014; remitente +34***TEL.4; Publi: EL GESTOR DE TU CASO REQUIERE D TU ATENCION PARA ELIMINARE DE LOS FICHEROS DE MOROSIDAD RAI/ASNEF YA ESTA TODO LISTO POR FAVOR LLAMANOS AHORA MISMO 807*****2.  Recibido a las 18:37:39 horas del día 22/09/2014; remitente +34***TEL.5; Publi: EL GESTOR DE TU EXPEDIENTE DE AYUDA FRENTE A MOROSIDAD DEL RAI/ASNEF NECESITA DARE UNA INFORMACION RELEVANTE POR FAVOR LLAMANOS AL 807*****2 mayor 18.  Recibido a las 10:54:56 horas del día 25/09/2014; remitente +34***TEL.6; Publi: ENHORABUENA Tienes PRECONCEDIDO un Microcrédito Garantizado hasta 6000e NO IMPORTA RAI ASNEF sin pago cuotas mensuales LLAMANOS AL 807*****2 mayor 18a  Recibido a las 14:21:06 horas del día 30/09/2014; remitente +34***TEL.7; Publi: YA ESTA SOBRE TU CREDITO PRECONCEDIDO Y LA EXCLUSION DE FICHEROS RAI Y ASNEF YA LO TENEMOS PREPARADO PARA ENVIAR LLAMANOS AL 807*****2 y lo terminamos!!.  Recibido a las 14:27:23 horas del día 30/09/2014; remitente +34***TEL.8; Publi: YA ESTA SOBRE TU CREDITO PRECONCEDIDO Y LA EXCLUSION DE FICHEROS RAI Y ASNEF YA LO TENEMOS PREPARADO PARA ENVIAR LLAMANOS AL 807*****2 y lo terminamos!!. SEGUNDO: A la vista de la denuncia reseñada y de las actuaciones desarrolladas en fase previa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/37 de investigación, los Servicios de Inspección de esta Agencia informaron lo siguiente: 1 En relación con el número de línea ***TEL.1 receptor de los mensajes, la compañía PEPEPHONE, con fecha de 19/02 y 09/03/2015, comunica lo siguiente:  PEPEPHONE es un operador móvil virtual y confirma que la denunciante es titular de la línea ***TEL.1. Añade que consultó a la entidad Vodafone España, S.A. (en lo sucesivo VODAFONE), operador host, con respecto a la recepción de los mensajes SMS objeto de la denuncia, señalando que la misma confirmó la recepción por dicho número de los mensajes siguientes:     2 El 19/09/2014, a las 20:18h, remitente +34***TEL.4. El 22/09/2014, a las 17:46h, remitente *******. El 30/09/2014, a las 14:20h, remitente +34***TEL.7. El 30/09/2014, a las 14:26h, remitente +34***TEL.8. Con respecto a las líneas emisoras de los seis mensajes SMS, ***TEL.8, ***TEL.7, ***TEL.6, ***TEL.5, ***TEL.4 y ***TEL.3 se verificaron los siguientes aspectos:  En la página web de la Comisión del Mercado de las Telecomunicaciones (CMT) <www.cmt.es> consta que el operador propietario de los citados números es la compañía VODAFONE.  Se han realizados diversas llamadas a los seis números que son atendidas por una alocución que comunica lo siguiente: le atiende el contestador de VODAFONE del (…) deje su mensaje después de oír la señal.  La compañía VODAFONE ha informado en relación con las citadas líneas lo siguiente: • El servicio ***TEL.8 es un servicio prepago asociado a B.B.B. con número de pasaporte ***NÚMERO.1 y nacionalidad española. Este servicio se activó el 22 de mayo de 2014 y sigue activo en la actualidad. • El servicio ***TEL.7 es un servicio prepago asociado a C.C.C., con número de pasaporte ***NÚMERO.2 y nacionalidad española. El servicio se activó el 29 de mayo de 2014 y sigue activo en la actualidad. • El servicio ***TEL.6 es un servicio prepago asociado a D.D.D., con número de pasaporte ***NÚMERO.3 y nacionalidad peruana. El servicio se activó el 10 de junio de 2014 y sigue activo en la actualidad. • El servicio ***TEL.9 es un servicio prepago asociado a E.E.E., con número de pasaporte ***NÚMERO.4 y nacionalidad filipina. El servicio se activó el 16 de junio de 2014 y sigue activo en la actualidad. • El servicio ***TEL.4 es un servicio prepago asociado a F.F.F., con número de pasaporte ***NÚMERO.5 y nacionalidad española. El servicio se activó el 6 de junio de 2014 y sigue activo en la actualidad. • El servicio ***TEL.3 es un servicio prepago asociado a G.G.G., con número de pasaporte ***NÚMERO.6 y nacionalidad española. El servicio se activó el 28 de mayo de 2014 y sigue activo en la actualidad. Los citados servicios fueron adquiridos a VODAFONE por TELENET CENTRAL LOGISTICA, S.A., que es la empresa mayorista que los entregó a los puntos de venta finales donde fueron adquiridos por las personas indicadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/37 Al tratarse de servicios prepago, VODAFONE sólo dispone de los datos indicados, que son los exigidos por la normativa que regula el prepago (Disposición Adicional Única de la Ley 25/2007 de Conservación de Datos). Asimismo y a causa de lo anterior, no se dispone de contratos de alta de los mismos e igualmente, por tratarse de servicios prepago, no existe facturación al respecto. 3 Con respecto al nº de línea 807*****1 y al nº de línea que consta en los mensajes SMS 807*****2 con objeto de que se ponga en contacto el receptor, se comprobó lo siguiente:  Consta información en internet de los números de línea 807*****1 y 807*****2, asociados a 807*****3 y 807*****4, sobre comentarios y denuncias de diversas personas que manifiestan que han recibido mensajes SMS indicando que les han concedido un crédito y que llamen a dichos números. Que han realizado llamadas y que les hacen diversas preguntas, para alargar la conversación y los costes de las mismas han sido elevados. Que pertenecen Files Technologies Project, S.L., apartado de correos 08080 y Coordinadora Financiera e Hipotecaria, S.L. (INFOMOROSOS).  Con fecha 11/02/2015, se realizaron diversas llamadas al número 807*****2 que son atendidas por una alocución que comunica lo siguiente: ONO le informa de que actualmente no existe ninguna línea en servicio con esta numeración. También, se han realizado diversas llamadas al número 807*****1 que después de dar la señal de llamada se corta.  En la página web de la Comisión del Mercado de las Telecomunicaciones (CMT) <www.cmt.es> consta que el operador propietario del nº de línea 807*****2 es Aplicacions de Servei Monsan, S.L. y del nº de línea 807*****1 la compañía Quality Telecom, S.A.  La compañía Quality Telecom, S.A.U informó a la Inspección de Datos que el rango de numeración 807….XXX (mil números) estaba asignado a la mercantil World Premium Rates, S.A. (en lo sucesivo WPR), posteriormente denominada PANGEA CONTENT INTERACTIVE SERVICES, S.L. (en lo sucesivo PANGEA), fusionada por unión con la entidad SERVICIOS TELEFONICOS DE AUDIOTEX, S.L. (en lo sucesivo AUDIOTEX), hasta el 17/11/2014, fecha en la que se transmitió el rango a Quality Telecom y que desde entonces el nº 807*****1 está vacante. WPR ha comunicado que dicho nº fue dado de baja con fecha de 24/12/2013, habiendo estado hasta dicha fecha asignado a la compañía Coordinadora Financiera e Hipotecaria, S.L.  En el Boletín Oficial del Estado, de fecha 19/09/2013, se publica un Anuncio de la Comisión de Supervisión de Servicios de Tarificación Adicional, sobre notificación del trámite de audiencia a los interesados en expediente iniciado ante la Comisión de Supervisión de los Servicios de Tarificación, entre los que se encuentran el de Ref. cssta_*****/13; teléfono denunciado: 807*****1; prestador del servicio de tarificación adicional: Coordinadora Financiera e Hipotecaria, S.L.  La compañía Aplicacions de Servei Monsan, S.L. informó a la Inspección de Datos que el prestador de servicio de la línea 807*****2, desde el 06/08/2014, fue la sociedad PAINT TECHNOLOGY PROJECT, S.L. (en lo sucesivo PAINT TECHNOLOGY PROJECT). La línea 807*****2 fue desactivada y desasignada al prestador de servicio PAINT TECHNOLOGY PROJECT el día 28/01/2015, desde dicha fecha no recibe llamadas. Aplicacions de Servei Monsan, S.L. ha recibido cuatro escritos solicitando información de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/37 la línea 807*****2, tres procedentes de la Comunidad de Madrid y uno del Juzgado del Puerto de la Cruz. 4 La Inspección de Datos se ha personado en la sede social de la compañía PAINT TECHNOLOGY PROJECT, que consta en el Registro Mercantil y en el contrato y facturas de la línea 807*****2, que corresponde con un Centro de Negocios, no estando presentes ningún responsable ni trabajador de la compañía. Tampoco, se han puesto en contacto con la AEPD ni han dado respuesta al requerimiento de fecha 03/03/2015. 5 De las actuaciones realizadas por la Inspección de Datos, el día 04/03/2015, en las instalaciones de la compañía Coordinadora Financiera e Hipotecaria, S.L. (INFOMOROSOS) se desprende lo siguiente:  La compañía ofrece sus servicios en la página web <www.infomorosos.com>, debiendo los clientes registrarse a través del formulario dispuesto en esta página de internet. Dichos servicios son básicamente de asesoramiento y gestión de solicitudes de los clientes ante las empresas que gestionan los ficheros de información sobre solvencia patrimonial y crédito.  Los servicios que Coordinadora Financiera e Hipotecaria, S.L. presta se cobran a través de las líneas de tarificación especial que utiliza para la comunicación con los clientes (líneas 807) que tiene contratadas con el operador WPR.  Una vez que el cliente se registra en la página web se le envía un correo electrónico a la dirección facilitada y se le invita a que llame al servicio de Atención al Ciudadano mediante un número de teléfono de tarificación especial, que en julio de 2013 era el número 807*****1, único número de tarificación adicional contratado por Coordinadora Financiera e Hipotecaria, S.L. en dicha fecha. En septiembre de 2014 tenían contratados los números 807*****5 y 807*****6 siendo el proveedor del servicio PANGEA.  La denunciante se registró en la página web <www.informorosos.com>, el día 24/07/2013, facilitando los datos relativos a: nombre, apellidos, DNI, fecha de nacimiento, teléfono fijo, teléfono móvil, dirección postal y dirección electrónica, la conexión se realizó desde la IP ***IP.1.  La denunciante realizó dos llamadas desde su número ***TEL.1 al número de Atención al Ciudadano 807*****1, el día 24/07/2013 a las 16:58 y 17:02 horas, siendo atendidas por los operadores número 514 y 529, respectivamente. No les consta expediente asociado a dicha persona porque no ha solicitado ningún servicio.  Coordinadora Financiera e Hipotecaria, S.L. no es titular del número de línea 807*****2 y no tienen ninguna relación con la misma. Asimismo, no ha sido ni es titular de ninguna de las líneas de teléfono remitentes de los mensajes: ***TEL.8, ***TEL.7, ***TEL.6, ***TEL.5, ***TEL.4 y ***TEL.3. En todos los mensajes SMS remitidos por Coordinadora Financiera e Hipotecaria, S.L. figura el número de tarificación adicional (+34807xxxxxx) con objeto de que el receptor pueda devolver la llamada de forma rápida y sencilla.  En relación con los mensajes SMS recibidos por la denunciante informan que no han sido remitidos por Coordinadora Financiera e Hipotecaria, S.L. y que en agosto de 2014 detectaron que el número de llamadas entrantes de sus clientes se había reducido considerablemente, por lo que realizaron una investigación interna y llegaron a la conclusión de que ha podido haber una tratamiento irregular de los números de teléfonos de las personas que contactaron con Coordinadora Financiera e Hipotecaria, S.L. a través del teléfono de Atención al Ciudadano, por parte de las compañías intermediarias de los servicios de telecomunicaciones. En el informe realizado por Coordinadora Financiera e Hipotecaria, S.L. se concluye lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/37 siguiente:  Se han detectado accesos no autorizados, al menos hasta el 11/09/2014, a los datos de los números que llaman a Coordinadora Financiera e Hipotecaria, S.L., desde la mercantil WPR y están utilizando esos datos para enviar SMS´s ofreciendo servicios similares a los que ofrece Coordinadora Financiera e Hipotecaria, S.L. Es decir, los número de móvil que han recibido mensajes SMS´s son los números que constan en el operador WPR, por haber contactado con Coordinadora Financiera e Hipotecaria, S.L., no el número de móvil que consta en el formulario facilitado a Coordinadora Financiera e Hipotecaria, S.L. a través de la página web.  La facturación de Coordinadora Financiera e Hipotecaria, S.L. se ha visto afectada alrededor de un 20-25% en pérdidas.  Se desconoce cómo ha llegado a producirse tal fuga de datos desde WPR, si bien tienen constancia de intentos de acceso no autorizados el día 11 y 12/09/2014. Según datos facilitados por el propio operador y cuya acreditación consta en el informe.  Se apunta como supuesto responsable a PAINT TECHNOLOGY PROJECT, titular de la línea 807*****2.  Todos los mensajes SMS´s son emitidos por móviles diferentes y solicitan llamar a teléfonos de tarificación adicional: 807*****7, 807*****4, 807*****8, 807*****9, 807*****3 y 807*****2, ofreciendo servicios de créditos, consultas de ASNEF y tarot. Coordinadora Financiera e Hipotecaria, S.L. aportó a los Servicios de Inspección el detalle de los contactos mantenidos por esa entidad con el Jefe de Sistemas de WPR, designado por ésta para resolver la incidencia detectada, mediante mensajes telefónicos y correo electrónico. Según las manifestaciones realizadas por el representante de WPR, consta acreditado que se produjeron accesos no autorizados por parte de terceros a los registros de llamadas (CDRs) de WPR y que estos accesos cesaron el 11/09/2015 después de que por parte de esta entidad se modificaran las claves de acceso. Asimismo, consta en dicha documentación que WPR no disponía de un sistema de logs para identificar los accesos a los CDRs y que esta deficiencia fue subsanada durante el proceso de examen de la incidencia reseñada. Con fecha de 05/03/2015, procedieron a presentar denuncia ante el Juzgado de Instrucción nº 4 de Bilbao, cuya copia adjuntaron por correo electrónico el 06/03/2015. 6 Por la Inspección de Datos se incorpora a las actuaciones copia del informe elaborado por la Dirección General de la Policía, de fecha 27/11/2014, que forma parte de las actuaciones previas de investigación E/06004/2014, en el que se indica lo siguiente: “En lo que se refiere a los pasaportes emitidos por la Dirección General de la Policía, cabe indicar que, desde la informatización de este documento que se llevó a cabo en febrero de 1989, en el pasaporte figuran dos números: - - El número del DNI del interesado que, como se sabe está constituido por ocho cifras. En los pasaportes obtenidos por menores de 14 años sin DNI se consigna el número del DNI del padre o de la madre seguido de un subrradicar de dos cifras que indica el número de orden del hijo que ha obtenido pasaporte con ese DNI. En estos casos sí puede haber una numeración con diez cifras, pero difícilmente será un 13 y, desde luego, nunca un 67, como figura en los números facilitados por esa Agencia. El número de la libreta constituido por un número de seis cifras precedido por una, dos o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/37 tres letras según la fecha de expedición. Con anterioridad a la informatización del pasaporte cada oficina de expedición llevaba su propia numeración constituida por un número (desde luego no de diez cifras) seguido y separado por una barra, del año de expedición del pasaporte En consecuencia, en ningún caso la numeración del pasaporte español emitido por la Dirección General de la Policía ha podido estar constituido por las diez cifras que se indican en el escrito de esa Agencia, por lo que los números facilitados no se corresponden con numeraciones de pasaportes ordinarios españoles de la Dirección General de la Policía”. TERCERO: Con fecha 18/03/2015, el Director de la Agencia Española de Protección de Datos acordó: 1. Iniciar procedimiento sancionador a las entidades VODAFONE y TELENET, por la presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. c)de la misma norma, pudiendo ser sancionadas con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. 2. Iniciar procedimiento sancionador a la entidad PAINT TECHNOLOGY PROJECT, por la presunta infracción del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (en lo sucesivo LSSI), tipificada como leve en el artículo 38.4.
2. d)de la citada Ley, pudiendo ser sancionada con multa de hasta 30.000 euros, de acuerdo con el artículo 39.1.
3. c)de la misma norma. 3. Iniciar procedimiento sancionador a las entidades a la entidad AUDIOTEX, por la presunta infracción del artículo 9 de la LOPD, en relación con los artículos 91, 93 y 103 del Real Decreto 1720/2007, tipificada como grave en el artículo 44.3.
4. h)de la misma norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Con fecha 25/03/2015, tuvo entrada en esta Agencia un escrito presentado por la entidad PAINT TECHNOLOGY PROJECT en respuesta al requerimiento de información que le fue efectuado por los Servicios de Inspección. En dicho escrito declara lo siguiente: . El servicio de tarificación adicional prestado mediante el número 807*****11 finalizó meses antes. . El número ***TEL.1 no consta en la base de datos de usuarios, por lo que el envío a dicho número puede suponer un error de la plataforma de envío de SMS en la gestión de los registros de numeración introducidos. Se puede haber generado un error en el manejo de los datos que haya hecho que la combinación numérica de la línea referida haya resultado receptora, por error, de los mensajes en cuestión. . La información relativa a la baja del servido se ofrecía verbalmente cuando el usuario accedía al servicio, puesto que el envío mediante SMS no permite la introducción de caracteres suficientes (limitado a 140 caracteres). Se indica en la cabecera del mensaje que el contenido del mismo es publicitario mediante la introducción de la reducción “Publi” también debido al espacio limitado. . El espacio limitado del medio de comunicación no permite incluir la información relativa al titular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/37 del servicio. Dicha información se proporcionaba al usuario cada vez que llamaba al servicio. Esta entidad no aportó documentación alguna con el escrito citado. QUINTO: Notificado el acuerdo de inicio reseñado en el Antecedente Tercero, la entidad VODAFONE presentó escrito de alegaciones, en el que solicita la aplicación de lo establecido en el artículo 45.5 de la LOPD, imponiendo una sanción por el importe mínimo previsto, conforme a las consideraciones siguientes: . En relación con el procedimiento que sigue para identificar a los compradores de servicios en la modalidad de prepago, advierte que la Disposición Adicional única del Real Decreto 15/2007, de Conservación de Datos, establece en su apartado 1 la obligación de llevar a cabo un libro registro que incluya el nombre y apellidos, el tipo de documento y número y nacionalidad del comprador, todo ello llevando a cabo una identificación presencial del comprador. En ningún caso la normativa exige o requiere disponer de documentación en papel correspondiente a dichas adquisiciones, siempre que se identifique presencialmente al comprador. . Vodafone dispone de un libro registro electrónico donde se incluyen los citados datos de los compradores previa identificación presencial. . En ocasiones existen mayoristas que adquieren servicios prepago para venderlas a su vez a puntos de venta minorista, como es el caso, que son los que, en última instancia, deben cumplir con tales obligaciones estipuladas en la Ley. En este caso, las tarjetas prepago fueron adquiridas inicialmente por TELENET, con la que VODAFONE tiene suscrito un contrato, en el que se contemplan tales obligaciones con dicha empresa y su traslado al punto de venta minorista, que es quien debe cumplir en última instancia con la obligación de identificar presencialmente a los compradores e incluir los datos en el libro registro electrónico. VODAFONE tiene los datos vinculados a los compradores que aportó TELENET y que fueron incluidos por los puntos de venta minorista a los que el mayorista vendió esos servicios prepago. . El pasaporte es un documento válido y apto para poder hacer las adquisiciones. En cuanto a la numeración de este documento, señala que existen numeraciones con un número de dígitos similares, por lo que el hecho de no haber incluido el número de pasaporte como tal, tampoco se puede concluir que la numeración incluida sea errónea o no esté incluida en los pasaportes de los compradores de las tarjetas. No puede descartarse que no sean números que pertenezcan a los pasaportes asociados a los compradores. . Para corregir la situación, contactará con los compradores con el fin de cualificar la información que consta en los sistemas y, en caso de que no acudan a una tienda, proceder a desactivar de manera inmediata los servicios. . Invoca el principio de presunción de inocencia, puesto que nada permite concluir que sean datos erróneos. . Subsidiariamente, solicita la aplicación de los dispuesto en el artículo 45.5 de la LOPD, considerando que dispone de un procedimiento que obliga a los mayoristas y punto de venta minorista, así como un libro registro donde incluye los datos, ha fijado un procedimiento para reconducir la situación, y, en el caso de que la Agencia no atendiera a lo solicitado, no podría sino reconocer su culpabilidad. Asimismo, señala que la infracción no es continuada, el volumen de clientes prepago no es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/37 elevado, el volumen de negocio no se incrementa, sino todo lo contrario, no existen beneficios ni intencionalidad, sería la primera sanción por hechos de este tipo y tiene acordados procedimientos tanto para que todas las partes cumplan con las obligaciones y al mismo tiempo corregir posibles incongruencias con los datos recogidos. Con su escrito, VODAFONE aportó copia del Contrato de Distribución Mayorista suscrito por la misma con la entidad TELENET, de fecha 01/04/2014, y sus Anexos, en los que se estipula lo siguiente: <<“El MAYORISTA pondrá los medios necesarios para detectar con carácter inmediato los supuestos de Fraude o de Engaño Comercial de los minoristas, comprometiéndose a (
5. i)informar a VODAFONE en ese mismo momento de la existencia de los citados supuestos y (
6. ii)abandonar, con carácter inmediato, la distribución y venta de productos a aquellos minoristas que realicen las citadas actuaciones”. “DECIMOPRIMERA. CUMPLIMIENTO DE LA NORMATIVA APLICABLE 11.1. VODAFONE y el MAYORISTA deberán cumplir con la normativa vigente que les sea de aplicación, con especial mención a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de carácter Personal, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal así como cualquier otra normativa vigente en cada momento. 11.2. Asimismo, el MAYORISTA colaborará con VODAFONE para el cumplimiento de lo establecido en la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones, y en especial se compromete a seguir las instrucciones que en cada momento VODAFONE pudiera determinar en relación con las obligaciones legales establecidas en la Disposición Adicional Única de la ley. 11.3. Asimismo, el MAYORISTA dará traslado de todas las obligaciones en materia de protección de datos de carácter personal a los Puntos de Venta minorista a los que suministre para lo cual, y con carácter previo a la entrega de las Tarjetas de Prepago y Packs suscribirá con cada uno de ellos un contrato de tratamiento de datos de conformidad con el modelo que se adjunta al presente contrato como Anexo III En este sentido y a estos meros efectos, el MAYORISTA actuará en nombre y representación de VODAFONE. 11.4. En cumplimiento de la Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones y en concreto de conformidad con lo dispuesto en la Disposición Adicional Única de la citada Ley, el MAYORISTA deberá cumplir con las instrucciones que VODAFONE le comunique y que se adjuntan al presente contrato como Anexo II, relativas con las obligaciones relativas a (
7. i)la identificación presencial y recogida de datos de los clientes que adquieran un Pack y/o una Tarjeta de prepago con carácter previo a la venta, (
8. ii)información a los mismos en los términos descritos en la citada Ley (iii) recogida de los datos personales en nombre y por cuenta de VODAFONE… Sin perjuicio de todo lo manifestado hasta el momento, y dadas las especiales características de este canal, el MAYORISTA deberá dar traslado de tales instrucciones a los Puntos de Venta minoristas a quienes distribuya los citados productos, para que éstos, antes de concluir una venta y en cumplimiento de las obligaciones de identificación derivadas de la Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones cumplan con lo dispuesto en el Anexo II del presente contrato”. “ANEXOII. RECOGIDA DE DATOS. CONTRATO DE DISTRIBUCIÓN MAYORISTA El presente anexo, vigente desde el día de su firma hasta el día 31 de marzo de 2015, contiene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/37 las instrucciones relativas al cumplimiento de la Disposición Adicional Única de la Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones respecto de (
9. i)la identificación presencial y recogida de datos de los Clientes que adquieran una Tarjeta de Prepago o un Pack de Prepago con carácter previo a la venta y (
10. ii)la información a los mismos en los términos descritos en la citada Ley, todo ello de conformidad con lo dispuesto en la cláusula 11.2 del Contrato de Distribución Mayorista del que este anexo trae causa. Los requisitos y procedimiento recogidos a continuación son los mínimos que deberá cumplir el MAYORISTA o en su defecto el Punto de Venta minorista en cumplimiento de lo establecido en el párrafo anterior, sin perjuicio del cumplimiento de otros procedimientos vigentes con el mismo objeto disponibles en el Portal Comercial. El MAYORISTA reconoce y acepta que los mismos podrán ser modificados, reducidos o ampliados por VODAFONE en caso de que fuera necesario. Dichas actualizaciones serán oportunamente comunicadas por VODAFONE al MAYORISTA a través del Portal Comercial y éste deberá comunicarlo a los Puntos de Venta minoristas. PRIMERA identificación Presencial y Recogida de Datos del Cliente/Comprador 1. El MAYORISTA deberá trasladar al Punto de Venta minorista, mediante la suscripción de un acuerdo que recoja las obligaciones relacionadas en el presente anexo» la obligación imprescindible de identificar PRESENCIALMENTE al Cliente/Comprador mediante su tarjeta identificativa original. • La documentación a presentar por las personas físicas, según su nacionalidad y situación, es la siguiente: - Para nacionales españoles: DNI o NIF. - Para ciudadanos de la Comunidad Europea se acepta DNI, Tarjeta de Residencia y Pasaporte. - Para ciudadanos de fuera de la Comunidad Europea: Pasaporte o NIE.  La documentación a presentar por personas jurídicas es su tarjeta de identificación fiscal. 2. Asimismo, el MAYORISTA deberá indicar al Punto de Venta minorista el procedimiento que se deberá seguir para recoger datos y activar la tarjeta de forma correcta. Los datos se deberán recoger en los Puntos de Venta minoristas a través de la herramienta informática IRIS en la pestaña específica “Alta Prepago” o a través de la herramienta Web Service habilitada en la Web del MAYORISTA. Será obligatorio comprobar que los datos proporcionados por el Cliente/Comprador y grabados en IRIS se corresponden con la documentación proporcionada En relación con la utilización de la herramienta Web Service, y dado que a través de la misma el MAYORISTA podrá tener acceso a datos de carácter personal, además de cumplir con lo previsto en el Contrato del que el presente Anexo es parte inseparable e implementar las Medidas de Seguridad que resulten pertinentes, en relación con estas últimas el MAYORISTA deberá estar siempre en disposición de acreditar que el usuario del MAYORISTA que acceda a la herramienta está en todo momento identificado de manera individualizada, debiendo disponer el MAYORISTA de un procedimiento que: (i)Permita identificar de manera individualizada qué Usuario del MAYORISTA ha accedido a la plataforma en un momento determinado, de tal forma que exista una trazabilidad de todas las acciones realizadas en los sistemas a los que se accedan. (
11. ii)Incluya un proceso de autenticación que requiera contraseña de acceso a la herramienta y que permita identificar al usuario que ha accedido a la misma. Asimismo, el MAYORISTA deberá disponer en todo momento de un listado actualizado de usuarios activos y autorizados por un responsable del MAYORISTA, debiendo eliminar aquellos usuarios que vayan siendo dados de baja por parte del MAYORISTA. El MAYORISTA será responsable frente a VODAFONE de cualquier perjuicio, tanto económico, como de cualquier otro tipo que pueda sufrir VODAFONE y que venga derivado de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/37 incumplimiento por parte del MAYORISTA de estas obligaciones de control de accesos a la herramienta. Excepcionalmente y de forma provisional, existirá una segunda vía, para aquellos Puntos de Venta minoristas que aún no dispongan de herramientas para la gestión de IRIS o Web Service, consistente en llamada telefónica a la plataforma habilitada por VODAFONE a esos efectos. El Punto de Venta minorista realizará una llamada con la tarjeta adquirida por el cliente a una plataforma de activación habilitada por VODAFONE con el número de teléfono ***TEL.10 y deberá facilitar los datos del cliente que solicita la Ley 25/2007 de 18 de octubre, de Conservación de Datas relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones y que se indican en el siguiente apartado. SEGUNDA Datos a recabar de los compradores de servicios prepago 1. PERSONAS FÍSICAS El MAYORISTA deberá trasladar al Punto de Venta minorista la obligación de recabar los siguientes datos de carácter obligatorio: Nombre, Apellidos, Nacionalidad, Tipo y número de Documento (DNI, NIF, Pasaporte, Tarjeta de Residencia). 2. PERSONAS JURÍDICAS EL MAYORISTA deberá trasladar al Punto de Venta minorista la obligación de recabar los siguientes datos de carácter obligatorio: Razón social, Tipo y número de Documento de identificación fiscal y Domicilio completo. TERCERA. Impresión y firma a solicitud de cliente. En caso de que el cliente lo solicite y el Punto de Venta minorista tenga habilitado IRIS, desde IRIS se imprimirá una única copia de la documentación (auto-cumplimentada con los datos introducidos en IRIS), y se le entregará al Cliente/Comprador, sin que el Punto de Venta minorista pueda quedarse con una copia del mismo…”. “ANEXO III AL CONTRATO DE DISTRIBUCIÓN MAYORISTA. MODELO DE CONTRATO DE TRATAMIENTO DE DATOS REUNIDOS… EXPONEN I. Que el MAYORISTA y VODAFONE han suscrito un Contrato de Distribución Mayorista no Exclusiva de VODAFONE (en adelante, “el Contrato”) por medio del cual el MAYORISTA compra productos asociados a los servicios de comunicaciones electrónicas móviles prepago de VODAFONE a fin de proceder a su posterior distribución y venta a Puntos de Venta minoristas. II. Que para la correcta prestación del servicio, se requerirá el acceso a datos de carácter personal de VODAFONE, acceso que se llevará a cabo por parte del MAYORISTA. Sin embargo, y puesto que el MAYORISTA distribuye los productos entre los Puntos de Venta minoristas estos necesitarán, para la correcta prestación del servicio, acceso a datos titularidad de VODAFONE. III. Que como consecuencia de lo anterior, VODAFONE autoriza al MAYORISTA a actuar en su nombre y representación, por lo que, el MAYORISTA y el Punto de Venta minorista desean suscribir el presente Contrato de conformidad con las siguientes CLÁUSULAS I.- Objeto Dando cumplimiento al artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, “LOPD”), es objeto del presente Contrato la determinación por parte del MAYORISTA de las medidas de seguridad que el Punto de Venta minorista como “Encargado del Tratamiento”, deberá adoptar en el acceso y tratamiento de los datos personales de Nivel Básico titularidad de que llevará a cabo para prestar el Servicio previsto en el Expositivo 1, así como la garantía por parte del Punto de Venta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/37 minorista de cumplir con la normativa vigente en materia de Protección de Datos Personales y, especialmente lo dispuesto por la LOPD y el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de (a LOPD (en adelante, “RLOPD”). II.-Encargado del Tratamiento En ningún caso se entenderá la prestación del Servicio que realice el Punto de Venta minorista a favor del MAYORISTA como una cesión de datos sino como un “Encargo de Tratamiento” del Punto de Venta minorista al MAYORISTA en los términos previstos en el artículo 12 de la LOPD. El Punto de Venta minorista declara conocer que el Fichero al que tiene acceso contiene datos personales y, como “Encargado del Tratamiento” de los mismos, se compromete a actuar en todo momento conforme a las instrucciones del MAYORISTA, así como a lo dispuesto en la normativa que le resulte aplicable en materia de protección de datos personales. El Punto de Venta minorista como “Encargado del Tratamiento”, se compromete a no aplicar ni utilizar los datos personales que figuran en dichos Ficheros para objeto o fin distinto al que estrictamente figure en el contrato de prestación de servicios firmado…”>>. SEXTO: En relación con estas mismas circunstancias, TELENET, por su parte, solicita igualmente el archivo de las actuaciones, señalando que no tiene contacto directo con el cliente final ni con sus datos personales, siendo el distribuidor autorizado el que realiza la función de venta directa y, por tanto, el obligado a recabar la identidad de cada uno de los adquirentes de los terminales y documentar la misma con el correspondiente tratamiento de datos. SEPTIMO: Notificado el acuerdo de inicio reseñado en el Antecedente Tercero, el plazo concedido a la entidad PAINT TECHNOLOGY PROJECT para formular alegaciones finalizó sin que en esta Agencia se haya recibido escrito alguno. OCTAVO: Notificado el acuerdo de inicio reseñado en el Antecedente Tercero, la entidad AUDIOTEX presentó escrito de alegaciones en el que solicita el archivo de las actuaciones por inexistencia de la infracción que se le imputa. Considera AUDIOTEX que no existen pruebas que sustenten la imputación, que no queda acreditada en el informe de la Inspección de Datos ni en el realizado por Coordinadora Financiera e Hipotecaria, S.L. De hecho, solamente el informe “interno” de Coordinadora Financiera e Hipotecaria, S.L. alude a “accesos no autorizados” y a “fuga de datos desde WPR”, que no han sido verificados por la Inspección de Datos. Este último informe sólo puede tener valor de mera denuncia. Al contrario, parece más probable que la “fuga de datos”, que parece evidente que sí existió, se produjese por una negligencia de Coordinadora Financiera e Hipotecaria, S.L. a la hora de guardar sus claves de acceso a los mismos. Cuando se modificaron estas claves de acceso, la “fuga de datos” cesó en el acto y definitivamente. Adicionalmente a lo anterior, señala que no ha podido analizar la documentación que integra el expediente hasta el último día del plazo para presentar alegaciones, a pesar de haberlo solicitado en dos ocasiones, lo que supone un menoscabo del derecho de defensa. Por ello, advierte que presentará alegaciones adicionales tan pronto como le sea posible. AUDIOTEX no trata datos personales de los usuarios del servicio de Coordinadora Financiera de Hipotecaria, pues su actuación se limitó a proveer el número 807*****1, mediante el cual Coordinadora Financiera de Hipotecaria, S.L. prestaba el denominado “servicio de Atención al Ciudadano” una vez que el cliente se había registrado en la página web de tal empresa. WPR se limitaba a la provisión de la numeración y al tratamiento de las llamadas. Se trata de un mero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/37 servicio de telecomunicaciones que no trata otro dato que el número de teléfono -fijo o móvil- del llamante, cuya identidad es completamente desconocida para AUDIOTEX. En estas circunstancias, cuando el dato tratado es solo un número de teléfono, desprovisto de cualquier otro elemento que permita identificar a una persona física, aquel número no es dato personal. La Audiencia Nacional, en sentencia de 17/09/2008, ha resuelto que “el citado número de teléfono ayuno de otras circunstancias que identifiquen o pudiesen permitir identificar al titular del mismo impide que pueda encajarse en la definición legal de dato de carácter personal”. Doctrina asumida por la Agencia en su Informe Jurídico 0575/2008. En consecuencia, la infracción imputada carece de fundamentación, en tanto que al no haber tratado dato personal alguno de los usuarios de Corporación Financiera e Hipotecaria, S.L., no existe un fichero de datos personales, ni es exigible la adopción de las medidas de seguridad. NOVENO: En fecha 30/07/2015, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, así como los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigación, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07462/2014. Asimismo, se tuvieron por presentadas las alegaciones a la apertura del procedimiento formuladas por las entidades VODAFONE, TELENET y AUDIOTEX. DECIMO: Con fecha 12/08/2015, se emitió propuesta de resolución en el siguiente sentido de que por la Directora de la Agencia Española de Protección de Datos se adopten los siguientes acuerdos: . Que se sancione a la entidad PAINT TECHNOLOGY PROJECT, S.L. con multa de 10.000 euros (diez mil euros), por la infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4.
12. d)de la misma norma, y de conformidad con lo establecido en los artículos 39.1.
13. c)y 40 de la citada Ley. . Que se sancione a la entidad VODAFONE ESPAÑA, S.A.U. con multa de 40.001 euros (cuarenta mil un euros) por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
14. c)de dicha norma, y de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. . Que se sancione a la entidad TELENET CENTRAL LOGISTICA, S.A. con multa de 40.001 euros (cuarenta mil un euros) por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
15. c)de dicha norma, y de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. . Que se sancione a la entidad SERVICIOS TELEFONICOS DE AUDIOTEX, S.L. con multa de 80.000 euros (ochenta mil euros) por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
16. h)de dicha norma, y de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. La citada propuesta de resolución no pudo ser notificada a las entidades PAINT TECHNOLOGY PROJECT y TELENET, después de dos intentos de entrega efectuados por el servicio de correspondencia. DECIMOPRIMERO: Notificada la citada propuesta, la entidad VODAFONE presentó escrito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/37 alegaciones en el que señala que, considerando el informe emitido por la dirección General de la Policía sobre la la configuración del número de pasaporte, reconoce la infracción imputada, a los efectos previstos en el artículo 45.5 de la LOPD, y solicita la imposición de una multa por el importe mínimo previsto, teniendo en cuenta, además, que dispone de un procedimiento que transmite a los distribuidores, que no existe infracción continuada, el volumen de clientes prepago y el de negocio de la entidad, así como la ausencia de intencionalidad y que se trata de la primera infracción por hechos de esta naturaleza. DECIMOSEGUNDO: AUDIOTEX, por su parte, presentó escrito de alegaciones en el que reitera sus alegaciones anteriores sobre la no aplicación al presente supuesto de la normativa de protección de datos personales y la errónea valoración de los hechos que motivan la propuesta de resolución elaborada. En primer término, niega el tratamiento por parte de AUDIOTEX de datos personales de los usuarios del servicio de Coordinadora Financiera de Hipotecaria SL, señalando que su actuación se limita a la provisión una numeración telefónica para que ésta entidad prestara un servicio de tarificación adicional. Se trata pues de un mero servicio de telecomunicaciones que no trata otro dato que el número de teléfono -fijo o móvil- del llamante y la fecha y duración de la llamada, cuya identidad es completamente desconocida para mi representada. La propuesta de resolución invoca el artículo 81.4 del reglamento LOPD, que debe interpretarse en el sentido de que las medidas de seguridad a que se refiere solo son exigibles y deben aplicarse a los ficheros de tráfico y localización cuando éstos contengan datos de carácter personal, considerando que el ámbito de aplicación de la LOPD se limita a los ficheros que contengan tales datos y las medidas de seguridad solo se aplican los ficheros que los contienen. Del mismo modo, el artículo 81.4 del Reglamento se refiere también a los ficheros o tratamientos de datos de carácter personal. Por tanto, considera AUDIOTEX que, en aplicación del principio de jerarquía normativa, no es admisible que el reglamento extienda el ámbito de aplicación de la Ley a ficheros que no contengan datos personales. Por otra parte, manifiesta que el citado artículo 81.4 del Reglamento debe ponerse en relación con el artículo 65 del Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios, aprobado por Real Decreto 424/2005, de 15 de abril, que establece la obligación de los operadores de eliminar o hacer anónimos los datos de carácter personal sobre el tráfico referidos a una comunicación y relacionados con los usuarios y los abonados que hayan sido tratados y almacenados para establecer una comunicación, en cuanto ya no sean necesarios a los efectos de su transmisión, sin perjuicio de lo dispuesto en los apartados siguientes, al igual que los datos necesarios para realizar la facturación y los pagos de las interconexiones. Por tanto, del mismo modo que puede existir un fichero de datos de tráfico con datos personales de los usuarios, puede existir ese fichero sin los datos personales, tras un proceso en el que hacen anónimos los datos de tráfico. En el primer caso se encuentran generalmente los operadores con red de acceso, es decir todos los operadores de telecomunicaciones que mantienen contratos con usuarios particulares, además de empresas. AUDIOTEX no es un operador de acceso, sino un operador de terminación, es decir, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/37 dispone de una red de terminación donde el operador de acceso termina la llamada, en este caso del 807. Como tal operador de terminación, los datos de tráfico que recibe le son entregados directamente por el operador de acceso, y estos datos no contienen información personal de los abonados que realizan las llamadas, tan solo la identificación del número llamante, la fecha y hora de la llamada y su duración. Una vez recibida la llamada, AUDIOTEX la encamina a sus clientes finales, que son siempre personas jurídicas, como Coordinadora Financiera e Hipotecaria S.L. En definitiva, se incumple el principio de tipicidad por cuanto el artículo 44.3
17. h)de la LOPD se refiere exclusivamente a “los ficheros, locales, programas o equipos que contengan datos de carácter personal”. Finalmente, advierte AUDIOTEX que el acceso no autorizado solo aparece mencionado en el informe “interno” de Coordinadora Financiera e Hipotecaria y que la actividad inspectora se ha limitado a dar por cierto el citado informe sin verificar ninguno de los aspectos que en el mismo se contienen, ni la veracidad de las afirmaciones del mismo. Por otra parte, las conversaciones o mensajes intercambiados entre Coordinadora y el Jefe de Sistemas de mi representada -cuyo contenido expresamente se impugna- no pueden constituir prueba alguna de la comisión de hechos constitutivos de una hipotética infracción, cuando no se ha verificado su autenticidad. La propuesta no niega la existencia e implantación del control de accesos, pero considera cometida la infracción por el mero hecho de la “constatación de accesos no autorizados” validando, una vez más, el “informe” de la mercantil Coordinadora Financiera e Hipotecaria, sin considerar siquiera la posibilidad de que el acceso no autorizado tuviera origen en una infracción del deber de custodia que incumbe a la misma respecto de las claves de acceso. En cuanto a la imputación de que no se mantienen registros de acceso, señala que se trata de una acusación infundada, pues tales registros o “logs” si existen, recogiendo en ellos la dirección IP desde la que se accede, así como el nombre de usuario y la contraseña. Subsidiariamente, solicita que se considere para la graduación de la sanción la ausencia de beneficio, la absoluta ausencia de intencionalidad, la rápida reacción modificando el usuario y la contraseña para evitar nuevos accesos de terceros y la inexistencia de sanción por hechos similares anteriores, que permiten concluir la existencia de una cualificada disminución de la culpabilidad con la imposición de una sanción por el importe correspondiente a una infracción leve. HECHOS PROBADOS 1. Corporación Financiera e Hipotecaria, S.L. ofrece sus servicios en la página web <www.infomorosos.com>, debiendo los clientes registrarse a través del formulario dispuesto en esta página de internet. Dichos servicios son básicamente de asesoramiento y gestión de solicitudes ante empresas que gestionan ficheros de información sobre solvencia patrimonial y crédito. Estos servicios se cobran a través de líneas de tarificación especial que la citada entidad utiliza para la comunicación con los clientes (líneas 807). En julio de 2013 y hasta el 24/12/2013 el número de teléfono de tarificación especial asignado a esta compañía era el 807*****1, contratado con el operador WPR. 2. Corporación Financiera e Hipotecaria, S.L. informó a los Servicios de Inspección de la AEPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/37 que, al menos hasta el 11/09/2014, se detectaron accesos no autorizados por terceros a los datos de los números de líneas de telefonía que llaman a la entidad, desde la mercantil WPR, y que dicha información fue utilizada para enviar SMS´s ofreciendo servicios similares a los que ofrece Coordinadora Financiera e Hipotecaria, S.L. Los números de móvil accedidos fueron los que constan en el operador WPR, por haber contactado con Coordinadora Financiera e Hipotecaria, S.L., no los facilitados por el cliente en el proceso de registro de sus datos mediante el formulario insertado en la web de la última entidad citada. Corporación Financiera e Hipotecaria, S.L. tiene constancia de intentos de acceso no autorizados los días 11 y 12/09/2014, según datos facilitados por WPR. Según Coordinadora Financiera e Hipotecaria, S.L., todos los mensajes SMS´s son emitidos por móviles diferentes y solicitan llamar a teléfonos de tarificación adicional: 807*****7, 807*****4, 807*****8, 807*****9, 807*****3 y 807*****2, ofreciendo servicios de créditos, consultas de Asnef y tarot. Coordinadora Financiera e Hipotecaria, S.L. aportó a los Servicios de Inspección el detalle de los contactos mantenidos por esa entidad con el Jefe de Sistemas de WPR, designado por ésta para resolver la incidencia detectada, mediante mensajes telefónicos y correo electrónico. Según las manifestaciones realizadas por el representante de WPR, consta acreditado que se produjeron accesos no autorizados por parte de terceros a los registros de llamadas (CDRs) de WPR y que estos accesos cesaron el 11/09/2015 después de que por parte de esta entidad se modificaran las claves de acceso, constando varios intentos los días 11 y 12/09/2014. Asimismo, consta en dicha documentación que WPR no disponía de un sistema de logs para identificar los accesos a los CDRs y que esta deficiencia fue subsanada durante el proceso de examen de la incidencia reseñada. 3. Con fecha 24/07/2013, la denunciante se registró en la página web <www.informorosos.com>, y realizó dos llamadas desde su número ***TEL.1, contratado con la operadora PEPEPHONE, al número de Atención al Ciudadano 807*****1, a las 16:58 y 17:02 horas. 4. Con fecha 02/10/2014, la denunciante formuló denuncia ante la AEPD por la recepción en su línea de telefonía móvil ***TEL.1 de los mensajes SMS que se detallan a continuación, en las fechas y con el contenido que se indican: . Recibido a las 12:38:04 horas del día 18/09/2014; remitente +34***TEL.3; Publi: YA LO TENEMOS PREPARADO PARA SACARTE DE LOS FICHEROS DE MOROSIDAD RAI/ASNEF POR FAVOR LLAMANOS AHORA PARA CONTINUAR TU GESTOR TE ESPERA 807*****2 may18. . Recibido a las 20:18:16 horas del día 19/09/2014; remitente +34***TEL.4; Publi: EL GESTOR DE TU CASO REQUIERE D TU ATENCION PARA ELIMINARE DE LOS FICHEROS DE MOROSIDAD RAI/ASNEF YA ESTA TODO LISTO POR FAVOR LLAMANOS AHORA MISMO 807*****2. . Recibido a las 18:37:39 horas del día 22/09/2014; remitente +34***TEL.5; Publi: EL GESTOR DE TU EXPEDIENTE DE AYUDA FRENTE A MOROSIDAD DEL RAI/ASNEF NECESITA DARE UNA INFORMACION RELEVANTE POR FAVOR LLAMANOS AL 807*****2 mayor 18. . Recibido a las 10:54:56 horas del día 25/09/2014; remitente +34***TEL.6; Publi: ENHORABUENA Tienes PRECONCEDIDO un Microcrédito Garantizado hasta 6000e NO IMPORTA RAI ASNEF sin pago cuotas mensuales LLAMANOS AL 807*****2 mayor 18a . Recibido a las 14:21:06 horas del día 30/09/2014; remitente +34***TEL.7; Publi: YA ESTA SOBRE TU CREDITO PRECONCEDIDO Y LA EXCLUSION DE FICHEROS RAI Y ASNEF YA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/37 LO TENEMOS PREPARADO PARA ENVIAR LLAMANOS AL 807*****2 y lo terminamos!!. . Recibido a las 14:27:23 horas del día 30/09/2014; remitente +34***TEL.8; Publi: YA ESTA SOBRE TU CREDITO PRECONCEDIDO Y LA EXCLUSION DE FICHEROS RAI Y ASNEF YA LO TENEMOS PREPARADO PARA ENVIAR LLAMANOS AL 807*****2 y lo terminamos!!. De los seis mensajes SMS denunciados, la entidad PEPEPHONE ha confirmado la recepción de los tres siguientes: . El 19/09/2014, a las 20:18h, remitente +34***TEL.4. . El 30/09/2014, a las 14:20h, remitente +34***TEL.7. . El 30/09/2014, a las 14:26h, remitente +34***TEL.8. 5. El prestador de servicio de la línea 807*****2, desde el 06/08/2014 hasta el 28/01/2015, fue la sociedad PAINT TECHNOLOGY PROJECT, S.L. 6. La compañía VODAFONE ha informado sobre la titularidad de las líneas que remitieron los mensajes SMS objeto de la denuncia con el detalle siguiente: • El servicio ***TEL.8 es un servicio prepago asociado a B.B.B. con número de pasaporte ***NÚMERO.1 y nacionalidad española. Este servicio se activó el 22 de mayo de 2014 y sigue activo en la actualidad. • El servicio ***TEL.7 es un servicio prepago asociado a C.C.C., con número de pasaporte ***NÚMERO.2 y nacionalidad española. El servicio se activó el 29 de mayo de 2014 y sigue activo en la actualidad. • El servicio ***TEL.6 es un servicio prepago asociado a D.D.D., con número de pasaporte ***NÚMERO.3 y nacionalidad peruana. El servicio se activó el 10 de junio de 2014 y sigue activo en la actualidad. • El servicio ***TEL.9 es un servicio prepago asociado a E.E.E., con número de pasaporte ***NÚMERO.4 y nacionalidad filipina. El servicio se activó el 16 de junio de 2014 y sigue activo en la actualidad. • El servicio ***TEL.4 es un servicio prepago asociado a F.F.F., con número de pasaporte ***NÚMERO.5 y nacionalidad española. El servicio se activó el 6 de junio de 2014 y sigue activo en la actualidad. • El servicio ***TEL.3 es un servicio prepago asociado a G.G.G., con número de pasaporte ***NÚMERO.6 y nacionalidad española. El servicio se activó el 28 de mayo de 2014 y sigue activo en la actualidad. Asimismo, VODAFONE informó que estos servicios prepago fueron adquiridos por TELENET CENTRAL LOGISTICA, S.A., que es la empresa mayorista que los entregó a los puntos de venta finales en los que fueron adquiridos por las personas indicadas. 7. Con fecha 01/04/2014, las entidades VODAFONE y TELENET suscribieron un Contrato de Distribución Mayorista, cuyas estipulaciones, incluidos sus Anexos, que constan detalladas en el Antecedente Quinto, se declaran reproducidas en este Hecho Probado. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/37 Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
18. g)en relación con el artículo 36 de la LOPD. Por otra parte, la competencia para sancionar la comisión de las infracciones tipificadas en los artículos 38.3 c),
19. d)e
20. i)y 38.4 d),
21. g)y
22. h)de la LSSI, corresponde a la Agencia Española de Protección de Datos, según dispone el artículo 43.1 de dicha Ley. II A los efectos de examinar si los hechos objeto de imputación pueden constituir infracción al artículo 21 de la LSSI conviene realizar una breve exposición sobre el marco jurídico que resulta de aplicación a las comunicaciones comerciales remitidas por correo electrónico o medios de comunicación electrónica equivalentes. Actualmente se denomina “spam” a todo tipo de comunicación no solicitada, realizada por vía electrónica. De este modo se entiende por “spam” cualquier mensaje no solicitado y que, normalmente, tiene el fin de ofertar, comercializar o tratar de despertar el interés respecto de un producto, servicio o empresa. Aunque se puede hacer por distintas vías, la más utilizada es el correo electrónico. Esta conducta es particularmente grave cuando se realiza en forma masiva. El envío de mensajes comerciales sin el consentimiento previo está prohibido por la legislación española. El bajo coste de los envíos de correos electrónicos vía Internet o mediante telefonía móvil (SMS y MMS), su posible anonimato, la velocidad con que llega a los destinatarios y las posibilidades que ofrece en cuanto al volumen de las transmisiones, han permitido que esta práctica se realice de forma abusiva e indiscriminada. El artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, en la redacción introducida por la Disposición Final Segunda de la Ley 9/2014, de 9 de mayo, señala lo siguiente: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección”. Añade el artículo 22.1 de la LSSI, también en la redacción dada por la mencionada Ley de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/37 Telecomunicaciones, que “El destinatario podrá revocar en cualquier momento el consentimiento prestado a la recepción de comunicaciones comerciales con la simple notificación de su voluntad al remitente. A tal efecto, los prestadores de servicios deberán habilitar procedimientos sencillos y gratuitos para que los destinatarios de servicios puedan revocar el consentimiento que hubieran prestado. Cuando las comunicaciones hubieran sido remitidas por correo electrónico dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho quedando prohibido el envío de comunicaciones que no incluyan dicha dirección. Asimismo, deberán facilitar información accesible por medios electrónicos sobre dichos procedimientos”. Así, cualquier envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente queda supeditado a la prestación previa del consentimiento, salvo que exista una relación contractual anterior y el sujeto no manifieste su voluntad en contra. A su vez, el apartado
23. d)del anexo de la LSSI define al “Destinatario del servicio” o ”destinatario” como la “persona física o jurídica que utiliza, sea o no por motivos profesionales, un servicio de la sociedad de la información.”. De este modo, la LSSI, en su artículo 21.1, prohíbe de forma expresa las comunicaciones comerciales dirigidas a la promoción directa o indirecta de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional, sin consentimiento expreso del destinatario, si bien esta prohibición encuentra su excepción en el segundo párrafo del citado artículo, que autoriza el envío cuando “exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente”. De este modo, el envío de comunicaciones comerciales no solicitadas, fuera del supuesto excepcional del artículo 21.2 de la LSSI, puede constituir una infracción leve o grave de la LSSI. El artículo 19, apartado 2, de la LSSI preceptúa que “En todo caso, será de aplicación la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y su normativa de desarrollo, en especial, en lo que se refiere a la obtención de datos personales, la información a los interesados y la creación y mantenimiento de ficheros de datos personales”. Por tanto, en relación con el consentimiento del destinatario para el tratamiento de sus datos con la finalidad de enviarle comunicaciones comerciales por vía electrónica, es preciso considerar lo dispuesto en la normativa de protección de datos y, en concreto, en el artículo 3.
24. h)de la LOPD, que define el “consentimiento del interesado” como: “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Asimismo resulta aplicable lo previsto en el artículo 45.1.
25. b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que señala que cuando los datos se destinen a publicidad y prospección comercial los interesados a quienes se les solicite su consentimiento deberán ser informados “sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/37 Así las cosas, de acuerdo con dichas normas, el consentimiento, además de previo, específico e inequívoco, deberá ser informado. Y esta información deberá ser plena y exacta acerca del sector de actividad del que puede recibir publicidad, con advertencia sobre el derecho a denegar o retirar el consentimiento. Esta información así configurada debe tomarse como un presupuesto necesario para otorgar validez a la manifestación de voluntad del afectado. Como ya se ha señalado, la LSSI prohíbe las comunicaciones comerciales no solicitadas o expresamente autorizadas, partiendo de un concepto de comunicación comercial que se califica como servicio de la sociedad de la información y que se define en su Anexo de la siguiente manera: “
26. f)Comunicación comercial»: toda forma de comunicación dirigida a la promoción, directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional. A efectos de esta Ley, no tendrán la consideración de comunicación comercial los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica”. De acuerdo con lo señalado, es preciso analizar el concepto de Servicios de la Sociedad de la Información para, a continuación, determinar los supuestos, recogidos en el párrafo segundo del Anexo
27. f)de la LSSI, que no se consideran, a los efectos de esta Ley, como comunicaciones comerciales. La LSSI en su Anexo
28. a)define como Servicio de la Sociedad de la Información, “todo servicio prestado normalmente a título oneroso, a distancia, por vía electrónica y a petición individual del destinatario. El concepto de servicio de la sociedad de la información comprende también los servicios no remunerados por sus destinatarios, en la medida en que constituyan una actividad económica para el prestador de servicios. Son servicios de la sociedad de la información, entre otros y siempre que representen una actividad económica, los siguientes: (…) 4º El envío de comunicaciones comerciales (…)”. De acuerdo con lo señalado, el concepto de comunicación comercial engloba la definición recogida en el Anexo f), párrafo primero de la LSSI, es decir, ha de tratarse de todas las formas de comunicaciones destinadas a promocionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesional. De lo anterior se deduce que, cuando la comunicación comercial no reúne los requisitos que requiere el concepto de Servicios de la Sociedad de la Información, pierde el carácter de comunicación comercial. En este sentido el párrafo segundo del Anexo
29. f)de la LSSI señala dos supuestos, que no tendrán, a los efectos de esta Ley, la consideración de comunicación comercial. Por un lado, los datos que permitan acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, y, por otro, las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezca cuando sean elaboradas por un tercero y sin contraprestación económica. En el presente supuesto, de la valoración conjunta de los elementos fácticos obrantes en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/37 el procedimiento sancionador, ha quedado acreditado que PAINT TECHNOLOGY PROJECT resulta responsable del envío de tres SMSs publicitarios remitidos, entre el 19 y el 30/09/2014, a la línea de teléfono móvil ***TEL.1 de la denunciante con la finalidad de promocionar el uso del números de tarificación adicional 807*****2 del que dicha entidad es titular. Se observa que estos envíos presentan un patrón común en cuanto a la estructura del mensaje, tipo de servicio promocionado (número de tarificación adicional) y beneficiario de la publicidad (PAINT TECHNOLOGY PROJECT). Además, todos ellos se remitieron a la destinataria sin incluir en los mismos ningún procedimiento de baja que permitiera a ésta oponerse a la recepción de nuevos SMSs publicitarios en la línea receptora de los mismos. Aunque en los mensajes aparezcan números de líneas llamantes diferentes, la participación de PAINT TECHNOLOGY PROJECT en el envío resulta incuestionable. Los citados envíos presentan un patrón común en cuanto a la estructura del mensaje, tipo de servicio promocionado, números de tarificación adicional y beneficiario de la publicidad. La entidad imputada no ha justificado que los tres mensajes reseñados en el Hecho Probado Cuarto se efectuaran mediando autorización expresa o solicitud previa de la destinataria de los mismos, quien, además, ha negado haber dado su consentimiento o autorización para recibir este tipo de SMSs. Atendidas las circunstancias expuestas, y dado que lo indicado afecta a la cuestión de la carga de la prueba, resulta de aplicación el criterio mantenido por la Audiencia Nacional en la Sentencia de fecha 17 de mayo de 2007, Recurso 157/2005, en el que, respecto de un caso que también afectaba al incumplimiento de lo previsto en el artículo 21 de la LSSI, se arguyó que: “En caso de que los afectados hubieran negado haber otorgado dicho consentimiento, que la Ley no exige que sea escrito, correspondería al denunciado probar su existencia, como ha reiterado esta Sala en relación con el tratamiento inconsentido de datos.” Sentado lo anterior, únicamente eximiría a PAINT TECHNOLOGY PROJECT del cumplimiento de contar con el consentimiento previo y expreso exigido en el artículo 21.1 de la LSSI la acreditación de la existencia de una relación contractual previa con la denunciante, tal y como se recoge en el primer párrafo del apartado 2 del artículo 21 de la LSSI, y ello siempre y cuando la imputada, como prestador de servicios de la sociedad de la información, hubiera obtenido de forma lícita los datos de contacto de la afectada, los utilizase para enviarle comunicaciones comerciales relativas a productos o servicios similares a los inicialmente adquiridos por ésta en su condición de cliente, y además, le hubiera ofrecido en el momento de recogida de los datos un mecanismo sencillo y gratuito para poder oponerse al tratamiento de sus datos con fines promocionales. En este supuesto no resulta de aplicación dicha excepción que hubiera podido amparar el envío de los SMS analizados sin mediar dicho consentimiento, ya que la entidad imputada no ha acreditado la existencia de relación contractual previa con la denunciante en los términos expresados en el artículo 21.2 de la LSSI. De este modo, a la luz de los elementos fácticos obrantes en el procedimiento cabe concluir que PAINT TECHNOLOGY PROJECT ha incumplido la prohibición recogida en el artículo 21.1 de la LSSI al enviar un total de tres SMSs publicitarios a la denunciante sin contar con la autorización expresa o solicitud previa de la misma para ello, y sin que quepa aplicar la excepción contenida en el primer párrafo del artículo 21.2 de dicha norma. En lo que respecta al incumplimiento del deber de PAINT TECHNOLOGY PROJECT de ofrecer a la destinataria de los envíos la posibilidad de oponerse al tratamiento de sus datos mediante un procedimiento sencillo y gratuito incluido en las propias comunicaciones comerciales remitidas, de la simple lectura del contenido de los SMSs objeto de estudio se evidencia que los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/37 mensajes publicitarios remitidos por la entidad imputada a la denunciante no incluían ningún mecanismo de baja a través del cual ésta pudiera oponerse al uso de su número de teléfono móvil con fines promocionales, tal y como exige el segundo párrafo del artículo 21.2 de la LSSI. Es decir, si la LSSI ha querido imponer una formalidad específica que permita a los destinatarios de este tipo de envíos oponerse al tratamiento de sus datos para el envío de mensajes publicitarios por medios de comunicación electrónica, o similares que incluyen los SMS, a fin de garantizar su derecho a no recibir comunicaciones de naturaleza comercial en sus señas electrónicas o número de teléfono móvil, el hecho de que por parte del prestador de servicios no se incluya en cada uno de los mensajes un procedimiento sencillo y gratuito que permita al destinatario negarse a la recepción de nuevos mensajes publicitarios conculca la obligación establecida en el mencionado precepto de la LSSI. En consecuencia, de lo expuesto con anterioridad, ha quedado probado que la entidad imputada también ha incurrido en la infracción del artículo 21.2, párrafo segundo de la LSSI, al no ofrecer en los SMSs comerciales dirigidos al número de teléfono móvil de la denunciante un procedimiento sencillo y gratuito para no continuar recibiendo publicidad por dicha vía. Respecto de la alegación de PAINT TECHNOLOGY PROJECT relativa a la falta de responsabilidad en su conducta debido a que la infracción ha sido consecuencia de una anomalía puntual en el funcionamiento de la plataforma de envío de SMS, conviene traer a colación lo señalado por la Audiencia Nacional en la Sentencia de fecha 19 de enero de 2015, Rec. 178,2013, en un supuesto en el que también se alegó esta circunstancia: “La concurrencia de un supuesto error informático como justificante de la remisión indebida de correos electrónicos no puede ser admitida por esta Sala y ellos pues son muchas las sentencias en las que se han insistido en que los errores informáticos no son suficientes para eliminar la antijuridicidad de las conductas sancionadas. Así en las sentencias dictadas en los recursos 110/2013 ó 368/2012. La existencia de un supuesto error informático, que también alega la parte recurrente en su escrito de demanda, no es suficiente para entender justificada la conducta de la recurrente y ello pues los referidos errores informáticos generan responsabilidad en quien los padece cuando producen daños a los titulares de otros bienes jurídicos, como, en el caso presente, es el derecho a no recibir comunicaciones no deseadas (así se ha dicho por esta Sala en multitud de sentencias de entre las que cabe citar las correspondientes a los recursos 110/2013 o 368/2012)” Tampoco se entendió por la Audiencia Nacional en su Sentencia de fecha 27 de marzo de 2015, Rec. 72/2014, que no existiera responsabilidad en la conducta infractora imputada por la existencia de un fallo del sistema de bloqueo en un caso referido a la LOPD. En dicha Sentencia se señalaba: “Una vez constatado que la parte demandante realizó la conducta infractora que aparece descrita en la resolución recurrida, en el curso de este proceso no se ha puesto de manifiesto la concurrencia de circunstancias que permitan excluir la culpabilidad de la misma, limitándose la parte atora a alegar que se debió a un fallo del sistema de bloqueo de datos personales. Es sabido que se puede incurrir en responsabilidad por la infracción e que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia- art. 130.1 de la Ley 30/1992, de 26 de noviembre-. Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998, “…aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/37 necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa. Ninguna de las circunstancias concurrentes en el caso que nos ocupa permite excluir este elemento subjetivo de la infracción. Debemos insistir en que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que le tratamiento de los datos del denunciante pudiese deberse a la existencia de un fallo del sistema de bloqueo de datos personales.” En este orden de ideas, debe rechazarse la alegación de PAINT TECHNOLOGY PROJECT, y apreciar la existencia de la infracción imputada a título de culpa. III El Título VII de la LSSI bajo la rúbrica “Infracciones y sanciones” contiene el régimen sancionador aplicable en caso de que se produzca alguna de las infracciones contenidas en el cuadro de infracciones que en el mismo se recoge. En concreto, el artículo 37 especifica que “los prestadores de servicios de la sociedad de la información están sujetos al régimen sancionador establecido en este Título cuando la presente Ley les sea de aplicación”. La definición de prestador del servicio se contiene en el apartado
30. c)del Anexo de la citada norma que considera como tal la “persona física o jurídica que proporciona un servicio de la sociedad de la información”. De acuerdo con lo establecido en los apartados 3.
31. c)y 4.
32. d)del artículo 38 de la LSSI actualmente en vigor, se consideran infracciones graves y leves las siguientes: “3. Son infracciones graves:
33. c)El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente, o su envío insistente o sistemático a un mismo destinatario del servicio cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21.”. “4. Son infracciones leves:
34. d)El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave”. En consecuencia, la infracción del artículo 21 de la LSSI, en los términos indicados por el citado artículo 38.4.d), se califica en términos generales como infracción leve, aunque si se produce un envío masivo de comunicaciones comerciales no solicitadas a diferentes destinatarios o su envío insistente o sistemático a un mismo destinatario, en los términos que se indican en el también citado artículo 38.3.c), se producirá una infracción de carácter grave a los efectos de la LSSI. A partir del conjunto de hechos y circunstancias constatadas en el procedimiento sancionador y con arreglo a lo dispuesto en los citados preceptos, la conclusión que se despende es que la conculcación del artículo 21 de la LSSI que se imputa a PAINT TECHNOLOGY C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/37 PROJECT se ajusta al tipo de infracción calificada como leve en el artículo 38.4.
35. d)de la vigente LSSI, ya que el envío en un plazo doce días de un total de tres mensajes cortos de texto publicitarios a la denunciante sin contar con su consentimiento previo y expreso para ello, y sin facilitarle ningún mecanismo de baja, no puede ser calificado como “envío insistente o sistemático” de comunicaciones comerciales no solicitadas por medios electrónicos por parte de la referida entidad. A tenor de lo establecido en el artículo 39.1.
36. c)de la LSSI las infracciones leves podrán sancionarse con multa desde hasta 30.000 euros, estableciéndose los criterios para su graduación en el artículo 40 de la misma norma, cuyo tenor literal es el siguiente: Artículo 40. Graduación de la cuantía de las sanciones. La cuantía de las multas que se impongan se graduará atendiendo a los siguientes criterios:
37. a)La existencia de intencionalidad.
38. b)Plazo de tiempo durante el que se haya venido cometiendo la infracción.
39. c)La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme.
40. d)La naturaleza y cuantía de los perjuicios causados.
41. e)Los beneficios obtenidos por la infracción.
42. f)Volumen de facturación a que afecte la infracción cometida.
43. g)La adhesión a un código de conducta o a un sistema de autorregulación publicitaria aplicable respecto a la infracción cometida, que cumpla con lo dispuesto en el artículo 18 o en la disposición final octava y que haya sido informado favorablemente por el órgano u órganos competentes.” En relación a los criterios de graduación de las sanciones recogidos en el citado artículo 40 de la LSSI, se considera la existencia de intencionalidad y el propósito de obtener lucro, así como la falta de diligencia que deriva del frecuente uso por parte de la imputada de medios de comunicación electrónica, o similares, para la remisión de publicidad, lo que obliga a la misma a ser especialmente conocedora de las exigencias recogidas en el artículo 21 de la LSSI al respecto y, consecuentemente, a actuar con el rigor y diligencia que le resultan exigibles en tanto que empresa habituada al uso de dichos medios en sus campañas, por lo cual se estima proporcional a la gravedad de los hechos imputados acordar la imposición de una sanción por importe de 10.000 euros a PAINT TECHNOLOGY PROJECT. IV Se imputa en el presente procedimiento a las entidades VODAFONE y TELENET una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el apartado 4 del mismo precepto establece que “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/37 Así, la Sentencia de la Audiencia Nacional, en su Sentencia de 27/02/2008, Recurso 210/2007, señala para un caso similar <<… El principio de veracidad o exactitud tiene gran relevancia, en cuanto no sólo resulta necesario que los datos se recojan para su tratamiento de acuerdo con una serie de criterios (principio de proporcionalidad) y que los mismos se empleen para finalidades compatibles a las que motivaron la recogida (principio de finalidad), sino que también exige que quien recoge y trata datos de carácter personal garantice y proteja que la información sometida a tratamiento sea inexacta y esté puesta al día. El incumplimiento o vulneración del principio de veracidad puede tener importantes consecuencias para el afectado…>>. En este caso, consta acreditado que en los sistemas de información de la entidad VODAFONE figura registrada el alta de las líneas de telefonía móvil remitentes de los SMSs objeto de la denuncia que ha dado lugar al procedimiento asociada a los datos personales de los presuntos titulares de las mismas, entre los que figura el relativo al número de pasaporte, cuya configuración no se ajusta a la establecida legalmente en el caso de los cuatro titulares con nacionalidad española, resultando que dichos números, en estos cuatro casos, son inexistentes. Según la información facilitada por VODAFONE a los Servicios de Inspección, los datos personales asociados a las líneas de prepago en cuestión son los siguientes: . El servicio ***TEL.8 es un servicio prepago asociado a B.B.B. con número de pasaporte ***NÚMERO.1 y nacionalidad española. Este servicio se activó el 22 de mayo de 2014. . El servicio ***TEL.7 es un servicio prepago asociado a C.C.C., con número de pasaporte ***NÚMERO.2 y nacionalidad española. El servicio se activó el 29 de mayo de 2014. . El servicio ***TEL.4 es un servicio prepago asociado a F.F.F., con número de pasaporte ***NÚMERO.5 y nacionalidad española. El servicio se activó el 6 de junio de 2014. . El servicio ***TEL.3 es un servicio prepago asociado a G.G.G., con número de pasaporte ***NÚMERO.6 y nacionalidad española. El servicio se activó el 28 de mayo de 2014. Esta información se recaba de conformidad con lo establecido en la Ley 25/2007, de 18 de octubre, de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones, cuya Disposición Adicional Única exige a las operadoras de telefonía que comercialicen servicios con sistema de activación mediante la modalidad de tarjetas de prepago llevar un libro-registro en el que conste la identidad de los clientes que adquieran una tarjeta inteligente con dicha modalidad, estando obligadas a incorporar a dicho libro los datos identificativos del adquirente relativos a nombre, apellidos, nacionalidad y número del documento utilizado para acreditar su identidad. En relación con la configuración del número de pasaporte, el Real Decreto 896/2003, de 11 de julio, por el que se regula la expedición del pasaporte ordinario y se determinan sus características, según las modificaciones introducidas por el Real Decreto 411/2014, de 6 de junio, en su artículo 10.2 establece lo siguiente: “2. Dispondrá de una página plastificada que contendrá las siguientes menciones: a. El número del pasaporte, que coincidirá con el de serie de la libreta. b. Un número identificador personal que será el del documento nacional de identidad de su titular, salvo que carezca de éste, por ser residente en el extranjero o menor de 14 años, en cuyo caso dicho número se corresponderá, respectivamente, con el de su inscripción en el Registro de Matrícula Consular, o con el del documento nacional de identidad de quien ostenta su patria potestad o tutela seguido del subradical correspondiente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/37 c. El número de la oficina expedidora. d. Los apellidos, nombre, nacionalidad, fecha y lugar de nacimiento y sexo, así como las fechas de expedición y caducidad del pasaporte. Contendrá, igualmente, la firma digitalizada del titular, a cuyo efecto, para prestarla, deberá acudir a las unidades expedidoras. Estas menciones se redactarán en castellano, inglés y francés, acompañándose de números que hagan referencia a un índice, incluido en el pasaporte, que indique, en las lenguas oficiales de los Estados miembros de la Unión Europea, el objeto de éstas. e. La fotografía digitalizada del titular. f. Dos líneas de caracteres OCR en la parte inferior de la hoja de datos, para la lectura mecánica de éstos, en la forma a que se refieren los acuerdos y disposiciones internacionales aplicables al pasaporte”. Con forme a lo establecido en este artículo, la Dirección General de la Policía, en informe de 27/11/2014 que figura incorporado a las actuaciones, emitido en respuesta a un requerimiento de la Inspección de Datos efectuado en las actuaciones previas E/06004/2014, informó a la AEPD que en los pasaportes emitidos por dicha Dirección General, desde febrero de 1989, figuran dos números: “El número del DNI del interesado que, como se sabe está constituido por ocho cifras. En los pasaportes obtenidos por menores de 14 años sin DNI se consigna el número del DNI del padre o de la madre seguido de un subradical de dos cifras que indica el número de orden del hijo que ha obtenido pasaporte con ese DNI. En estos casos sí puede haber una numeración con diez cifras, pero difícilmente será un 13 y, desde luego, nunca un 67, como figura en los números facilitados por esa Agencia”; y “El número de la libreta constituido por un número de seis cifras precedido por una, dos o tres letras según la fecha de expedición”. Añade dicho informe que “Con anterioridad a la informatización del pasaporte cada oficina de expedición llevaba su propia numeración constituida por un número (desde luego no de diez cifras) seguido y separado por una barra, del año de expedición del pasaporte”. Por tanto, concluye la Dirección General de la Policía en su informe que “en ningún caso la numeración del pasaporte español emitido por la Dirección General de la Policía ha podido estar constituido por las diez cifras que se indican en el escrito de esa Agencia, por lo que los números facilitados no se corresponden con numeraciones de pasaportes ordinarios españoles de la Dirección General de la Policía”. En el presente caso, los mismos reparos se aprecian en relación con los números de pasaporte que constan en el libro-registro de VODAFONE asociados a las líneas remitentes de los SMSs denunciados (***NÚMERO.1, ***NÚMERO.2, ***NÚMERO.5 y ***NÚMERO.6), de modo que en ningún caso esta numeración puede corresponder con un pasaporte español emitido por las autoridades competentes. Por tanto, los datos personales de los titulares de las líneas de prepago en cuestión figuran registrados en los sistemas de información de VODAFONE asociados a números de pasaportes inexactos o inexistentes, lo que constituye una vulneración del principio de calidad de datos. Intervienen en estos hechos constitutivos de infracción las entidades VODAFONE y TELENET. Se trata de servicios prepago comercializados por la operadora VODAFONE que fueron adquiridos por TELENET, que es la empresa mayorista que los entregó a los puntos de venta finales en los que fueron adquiridos por los clientes indicados, en virtud de un Contrato de Distribución Mayorista suscritos por las mismas en fecha 01/04/2014, cuyas estipulaciones, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/37 incluidos sus Anexos constan detalladas en el Antecedente Quinto. De acuerdo con las estipulaciones convenidas en dicho contrato y en sus anexos, TELENET se compromete a cumplir las exigencias previstas en la normativa de protección de datos de carácter personal y las recogidas en la citada Ley 25/2007, siguiendo las instrucciones que VODAFONE determine, y, con carácter general, a poner los medios necesarios para detectar con carácter inmediato los supuestos de fraude o de engaño comercial de los minoristas. Asimismo, asume la obligación de trasladar tales exigencias a los puntos de venta minorista a los que suministre, con los que deberá suscribir un contrato de tratamiento de datos, en el que TELENET actúa en nombre y representación de VODAFONE. En concreto, TELENET deberá cumplir las instrucciones de VODAFONE en la recogida de datos personales en nombre y por cuenta de esta operadora y las obligaciones relativas a la identificación presencial y recogida de datos de los clientes que adquieran un Pack y/o una Tarjeta de prepago con carácter previo a la venta, y ocuparse de dar traslado de tales instrucciones a los Puntos de Venta minoristas a quienes distribuya los productos, para que éstos, antes de concluir una venta y la recogida de datos, identifiquen presencialmente al cliente/comprador mediante su tarjeta identificativa original (DNI, NIF o NIE, Tarjeta de Residencia y Pasaporte). Los datos se recogen en los Puntos de Venta minoristas a través de la herramienta informática IRIS de VODAFONE o a través de la herramienta Web Service habilitada en la Web de TELENET. En este caso, TELENET tiene acceso a datos de carácter personal. Según consta en el Anexo III al Contrato de Distribución Mayorista, para la correcta prestación del servicio se requerirá el acceso a datos de carácter personal de VODAFONE por parte de TELENET y por parte de los Puntos de Venta minoristas. Por ello, VODAFONE autoriza a TELENET a actuar en su nombre y representación, por lo que ésta deberá suscribir un contrato con los puntos de venta en cumplimento de lo establecido en el artículo 12 de la LOPD. La prestación del Servicio que realice el Punto de Venta minorista se entiende como un “Encargo de Tratamiento”, comprometiéndose el Punto de Venta minorista a actuar en todo momento conforme a las instrucciones de TELENET. Por tanto, ambas entidades, VODAFONE y TELENET, son responsables de los hechos constitutivos de la infracción a lo dispuesto en el artículo 4.3 de la LOPD. De haber tenido en cuenta lo establecido en las normas reseñadas, VODAFONE y TELENET hubiesen establecido los mecanismos adecuados y necesarios para evitar la inexactitud de la información recabada, en la que figuran números de pasaporte inexactos o inexistentes que se asociaron a los servicios detallados. Dichas entidades actuaron con total falta de diligencia. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/37 El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido y la profesionalidad exigible al infractor. En este sentido la Sentencia de 05/06/1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de los mismos, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Por tanto, VODAFONE y TELENET incumplieron el mandato legal de que los datos respondan con exactitud a la situación real de los afectados, vulnerado el principio de calidad de datos, un pilar básico de la normativa de protección de datos de carácter personal, consagrado en el artículo 4 de la LOPD. A este respecto, la Audiencia Nacional en su Sentencia de 21/05/2007, referida a un supuesto de error en el DNI asociado a un cliente, declaró: “Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso -artículo 44.3.
44. d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos han sido recogidos con el consentimiento de los afectados y para asegurase también, antes de remitir los datos a un fichero de solvencia profesional, de la calidad del dato y de su exactitud, es decir que el número de documento nacional de identidad facilitado se corresponde realmente con el de la persona deudora cuyos restantes datos de carácter personal se facilitan. Pues bien, es esta falta de diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. En este sentido el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. En este sentido la STS de 5 de junio de 1998 exige a los profesionales del sector "un deber de conocer especialmente las normas aplicables", y en similares términos se pronuncian, entre otras, las SSTS de 2 de marzo de 1999 y 17 de septiembre de 1999”. V La vulneración de lo dispuesto en el artículo 4.3 de la LOPD aparece tipificada en el artículo 44.3.
45. c)de la LOPD, que considera los hechos analizados como constitutivos de infracción grave en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/37 “Son infracciones graves:
46. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. En este caso se ha producido la infracción del artículo 44.3.
47. c)de la LOPD por parte deVODAFONE y TELENET, que trataron datos inexactos de varios clientes, personas físicas plenamente amparada por el derecho regulado en la normativa expuesta. Esta inexactitud de los datos tratados supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. Este principio, que exige que los datos de carácter personal respondan con veracidad a la situación actual de los afectados, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. VI Se imputa a la entidad AUDIOTEX, fusionada por unión con la mercantil PANGEA, anteriormente denominada World Premium Rates, S.A. (WPR), el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. El Art. 7 del Convenio Nº 108 del Consejo de Europa, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, establece: “Seguridad de los datos: Se tomarán medidas de seguridad apropiadas para la protección de datos de carácter personal registrados en ficheros automatizados contra la destrucción accidental o no autorizada, o la pérdida accidental, así como contra el acceso, la modificación o la difusión no autorizados”. El Art 17.1 de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, establece: “Seguridad del tratamiento: 1. Los Estados miembros establecerán la obligación del responsable del tratamiento de aplicar las medidas técnicas y de organización adecuadas, para la protección de los datos personales contra la destrucción, accidental o ilícita, la pérdida accidental y contra la alteración, la difusión o el acceso no autorizados, en particular cuando el tratamiento incluya la transmisión de datos dentro de una red, y contra cualquier otro tratamiento ilícito de datos personales. Dichas medidas deberán garantizar, habida cuenta de los conocimientos técnicos existentes y del coste de su aplicación, un nivel de seguridad apropiado en relación con los riesgos que presente el tratamiento y con la naturaleza de los datos que deban protegerse” La LOPD, traspuso al ordenamiento interno el contenido de la Directiva 95/46. En el artículo 9 de la citada LOPD se dispone lo siguiente: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten la alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/37 están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El trascrito artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles sean los accesos que la Ley pretende evitar exigiendo las pertinentes medidas de seguridad es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta al concepto de “fichero” el artículo 3.
48. b)de la LOPD lo define como “todo conjunto organizado de datos de carácter personal”, con independencia de la modalidad de acceso al mismo. Por su parte el artículo 3.
49. c)de la citada Ley Orgánica considera tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente procedimiento, la “comunicación” o “consulta” de los datos personales tanto si las operaciones o procedimientos de acceso a los datos son automatizados o no. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
50. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
51. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso, –la comunicación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
52. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca están, también, sujetos a la LOPD.
53. c)La LOPD impone al responsable del fichero la adopción de medidas de seguridad, cuyo detalle se remite a normas reglamentarias, que eviten accesos no autorizados.
54. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. Dichas medidas, en el caso que nos ocupa, deben salvaguardar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/37 confidencialidad y seguridad de los datos de carácter personal contenidos en los registros de llamadas de los que es responsable la entidad AUDIOTEX, procediendo adoptar las correspondientes al nivel de seguridad alto en relación con el registro de accesos, en atención al tipo de información que contiene, tal como se especifica en los artículos 80 y 81 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. El citado artículo 81 del Reglamento de desarrollo de la LOPD, en su apartado 4, establece lo siguiente: “4. A los ficheros de los que sean responsables los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico y a los datos de localización, se aplicarán, además de las medidas de seguridad de nivel básico y medio, la medida de seguridad de nivel alto contenida en el artículo 103 de este reglamento”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104, del Reglamento de desarrollo de la LOPD. Los artículos 91, 93 del citado Reglamento, aplicable a todos los ficheros y tratamientos automatizados, y el artículo 103 del mismo Reglamento, aplicable a los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico, establecen: “Artículo 91. Control de acceso. 1. Los usuarios tendrán acceso únicamente a aquellos recursos que precisen para el desarrollo de sus funciones. 2. El responsable del fichero se encargará de que exista una relación actualizada de usuarios y perfiles de usuarios, y los accesos autorizados para cada uno de ellos. 3. El responsable del fichero establecerá mecanismos para evitar que un usuario pueda acceder a recursos con derechos distintos de los autorizados. 4. Exclusivamente el personal autorizado para ello en el documento de seguridad podrá conceder, alterar o anular el acceso autorizado sobre los recursos, conforme a los criterios establecidos por el responsable del fichero. 5. En caso de que exista personal ajeno al responsable del fichero que tenga acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio”. Este artículo desarrolla las previsiones que deberá establecer el responsable del fichero para garantizar que los usuarios con accesos a datos personales o recursos, por haber sido previamente autorizados, sólo puedan acceder a tales datos y recursos. Para ello es necesario que se implanten mecanismos de control para evitar que un usuario pueda acceder a datos o funcionalidades que no se correspondan con el tipo de acceso autorizado para el mismo, en función del perfil de usuario asignado. “Artículo 93. Identificación y autenticación. 1. El responsable del fichero o tratamiento deberá adoptar las medidas que garanticen la correcta identificación y autenticación de los usuarios. 2. El responsable del fichero o tratamiento establecerá un mecanismo que permita la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/37 identificación de forma inequívoca y personalizada de todo aquel usuario que intente acceder al sistema de información y la verificación de que está autorizado. 3. Cuando el mecanismo de autenticación se base en la existencia de contraseñas existirá un procedimiento de asignación, distribución y almacenamiento que garantice su confidencialidad e integridad. 4. El documento de seguridad establecerá la periodicidad, que en ningún caso será superior a un año, con la que tienen que ser cambiadas las contraseñas que, mientras estén vigentes, se almacenarán de forma ininteligible”. El artículo 5.2.
55. b)del citado Reglamento define la “autenticación” como el procedimiento de comprobación de la identidad de un usuario; y el mismo artículo, letra h), se refiere a la “identificación” como el procedimiento de reconocimiento de la identidad de un usuario. Corresponde al responsable del fichero o tratamiento comprobar la existencia de la autorización exigida en el citado artículo 91, con un proceso de verificación de la identidad de la persona (autenticación) implantando un mecanismo que permita acceder a datos o recursos en función de la identificación ya autenticada. Cada identidad personal deberá estar asociada con un perfil de seguridad, roles y permisos concedidos por el responsable del fichero o tratamiento. “Artículo 103. Registro de accesos. 1. De cada intento de acceso se guardarán, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado. 2. En el caso de que el acceso haya sido autorizado, será preciso guardar la información que permita identificar el registro accedido. 3. Los mecanismos que permiten el registro de accesos estarán bajo el control directo del responsable de seguridad competente sin que deban permitir la desactivación ni la manipulación de los mismos. 4. El período mínimo de conservación de los datos registrados será de dos años. 5. El responsable de seguridad se encargará de revisar al menos una vez al mes la información de control registrada y elaborará un informe de las revisiones realizadas y los problemas detectados. 6. No será necesario el registro de accesos definido en este artículo en caso de que concurran las siguientes circunstancias:
56. a)Que el responsable del fichero o del tratamiento sea una persona física.
57. b)Que el responsable del fichero o del tratamiento garantice que únicamente él tiene acceso y trata los datos personales. La aplicación de la normativa de protección de datos de carácter personal a los datos de tráfico se establece expresamente en la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. En los artículos 1, 2 y 8 de esta Ley se establece lo siguiente: “Artículo 1 Objeto de la Ley 1. Esta Ley tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales. 2. Esta Ley se aplicará a los datos de tráfico y de localización sobre personas físicas y jurídicas y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/37 a los datos relacionados necesarios para identificar al abonado o usuario registrado. 3. Se excluye del ámbito de aplicación de esta Ley el contenido de las comunicaciones electrónicas, incluida la información consultada utilizando una red de comunicaciones electrónicas”. “Artículo 2 Sujetos obligados Son destinatarios de las obligaciones relativas a la conservación de datos impuestas en esta Ley los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones, en los términos establecidos en la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones”. “Artículo 8 Protección y seguridad de los datos 1. Los sujetos obligados deberán identificar al personal especialmente autorizado para acceder a los datos objeto de esta Ley, adoptar las medidas técnicas y organizativas que impidan su manipulación o uso para fines distintos de los comprendidos en la misma, su destrucción accidental o ilícita y su pérdida accidental, así como su almacenamiento, tratamiento, divulgación o acceso no autorizados, con sujeción a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo. 2. Las obligaciones relativas a las medidas para garantizar la calidad de los datos y la confidencialidad y seguridad en el tratamiento de los mismos serán las establecidas en la Ley Orgánica 15/1999, de 13 de diciembre, y su normativa de desarrollo. 3. El nivel de protección de los datos almacenados se determinará de conformidad con lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, y en su normativa de desarrollo. 4. La Agencia Española de Protección de Datos es la autoridad pública responsable de velar por el cumplimiento de las previsiones de la Ley Orgánica 15/1999, de 13 de diciembre, y de la normativa de desarrollo aplicables a los datos contemplados en la presente Ley”. En definitiva, la entidad AUDIOTEX, que interviene en los hechos en su condición de operador de servicios de comunicaciones, está obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para sus ficheros, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en los mismos. En este caso, sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al haberse constatado que terceros no autorizados consiguieron acceder a los registros de llamadas de los que es responsable AUDIOTEX, obteniendo información, concretamente, los números de líneas de teléfono, fijo o móvil, de personas que habían contactado con la entidad Corporación Financiera e Hipotecaria, S.L. a través del número de tarificación adicional contratado por la misma con la prestador de servicios AUDIOTEX. Corporación Financiera e Hipotecaria, S.L. ofrece sus servicios en la página web <www.infomorosos.com>, debiendo los clientes registrarse a través del formulario dispuesto en esta página de internet. Dichos servicios son básicamente de asesoramiento y gestión de solicitudes de los clientes ante las empresas que gestionan los ficheros de información sobre solvencia patrimonial, y se cobran a través de líneas de tarificación especial que la citada entidad utiliza para la comunicación con los clientes (líneas 807). En julio de 2013 y hasta el 24/12/2013 el número de teléfono de tarificación especial asignado a esta compañía era el 807*****1, contratado con el operador WPR, actualmente AUDIOTEX. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/37 Los números de móvil accedidos fueron los que constan en el operador WPR, por haber contactado con Coordinadora Financiera e Hipotecaria, S.L., no los facilitados por en el proceso de registro de sus datos mediante el formulario insertado en la web de la última entidad citada. Consta acreditado que se produjeron accesos no autorizados por parte de terceros a los registros de llamadas (CDRs) de WPR y que estos accesos cesaron el 11/09/2015 después de que por parte de esta entidad se modificaran las claves de acceso. Con posterioridad al cambio de las contraseñas, se tiene constancia de varios intentos de acceso no autorizados los días 11 y 12/09/2014, según datos facilitados por AUDIOTEX. Asimismo, consta que AUDIOTEX no disponía de un sistema de logs para identificar los accesos a los CDRs y que esta deficiencia fue subsanada durante el proceso de examen de la incidencia reseñada. Para concluir la vulneración del principio de seguridad de los datos personales resulta determinante la constatación de los accesos por terceros no autorizados, considerando que en esta materia se impone una obligación de resultado, que conlleva la exigencia de que las medidas implantadas deben impedir, de forma efectiva, el acceso a la información por parte de terceros. Esta necesidad de especial diligencia en la custodia de la información por el responsable ha sido puesta de relieve por la Audiencia Nacional, en su Sentencia de 11/12/08 (recurso 36/08), fundamento cuarto: “Como ha dicho esta Sala en múltiples sentencias…se impone, en consecuencia, una obligación de resultado, consistente en que se adoptan las medidas necesarias para evitar que los datos se pierdan, extravíen o acaben en manos de terceros…la recurrente es, por disposición legal una deudora de seguridad en materia de datos, y por tanto debe dar una explicación adecuada y razonable de cómo los datos han ido a parar a un lugar en el que son susceptibles de recuperación por parte de terceros, siendo insuficiente con acreditar que adopta una serie de medidas, pues es también responsable de que las mismas se cumplan y se ejecuten con rigor”. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/37 Por otro lado, el hecho, también acreditado, de que AUDIOTEX no dispusiera de un control de accesos a los registros de llamadas supone igualmente un incumplimiento de lo establecido en el artículo 9 de la LOPD, en relación con el artículo 103 del Reglamento de desarrollo de dicha Ley Orgánica, que el artículo 81 del mismo Reglamento declara expresamente aplicable a los operadores que presten servicios de comunicaciones electrónicas disponibles al público o exploten redes públicas de comunicaciones electrónicas respecto a los datos de tráfico. Conforme a lo dispuesto en el citado artículo 103, AUDIOTEX está obligada a guardar, de cada intento de acceso, como mínimo, la identificación del usuario, la fecha y hora en que se realizó, el fichero accedido, el tipo de acceso y si ha sido autorizado o denegado; así como el registro accedido, en el caso de accesos autorizados. Asimismo, se establece la obligación de revisar, al menos mensualmente, la información de control registrada y de elaborará un informe de las revisiones realizadas y los problemas detectados. Todas estas normas fueron incumplidas por AUDIOTEX, y ello pudo impedir que fueran detectados a tiempo los accesos y evitados, en lo posible, los efectos consiguientes. Dado que ha existido una vulneración del “principio de seguridad de los datos”, se considera que AUDIOTEX ha incurrido en la infracción grave descrita. Por otra parte, en respuesta a las alegaciones realizadas por AUDIOTEX, según las cuales no ha podido analizar la documentación que integra el procedimiento hasta el último día del plazo para presentar alegaciones, a pesar de haberlo solicitado en dos ocasiones, en perjuicio de su derecho de defensa, debe señalarse que consta en el expediente un escrito de fecha 13/04/2015, dirigido a AUDIOTEX, por el que se le remitió copia íntegra de las actuaciones previas de investigación y se concedía a la misma un nuevo plazo de quince días hábiles para formular alegaciones, si bien por parte de dicha entidad no se hizo uso de este nuevo trámite para alegaciones a la apertura del procedimiento. VII El artículo 44.3.
58. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, se considera que AUDIOTEX ha incurrido en la infracción grave descrita. VIII El artículo 45.1, 2, 4 y 5 LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
59. a)El carácter continuado de la infracción.
60. b)El volumen de los tratamientos efectuados.
61. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/37
62. d)El volumen de negocio o actividad del infractor.
63. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
64. f)El grado de intencionalidad.
65. g)La reincidencia por comisión de infracciones de la misma naturaleza.
66. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
67. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
68. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
69. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los crite