PS-00186-2016

1/8 Procedimiento PS/00186/2016 RESOLUCIÓN: R/02460/2016 En el procedimiento sancionador PS/00186/2016, instruido por la Agencia Española de Protección de Datos a la entidad Vodafone España SAU, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 28 de mayo de 2015 tiene entrada en esta Agencia un escrito de A.A.A. en el que denuncia que en la base de datos de Vodafone España SAU (Vodafone) figura su nombre con un DNI erróneo y eso motiva que Vodafone le reclame un importe de 54,79 euros. El 12/6/2014 envío a Vodafone toda la documentación que justifica el pago de sus facturas y avisando del error en la base de datos. Vodafone le responde el día 18/6/2014 diciendo que ha modificado los datos en su registro y que no tiene ningún importe pendiente de pago. No obstante, el 19/5/2015 continúa recibiendo carta de amenaza de embargo e inclusión de sus datos en ficheros de morosidad. Aporta copia de la carta de 18/6/2014, y cartas de fecha 22/2/2015 y 28/4/2015 donde se le reclaman deudas. No obstante en ninguna de las dos cartas donde se le reclaman deudas puede verificarse que se trate de una persona diferente del denunciante salvo que en el apellido “A.A.A.” figura en la carta “B.B.B.”. Con fecha 11/9/2015 se solicita al denunciante que aporte copia de su DNI así como copia de reclamación presentada ante la OMIC contra Vodafone y copia de requerimientos de pago recibidos con anterioridad al 18/6/2014. Con fecha 7/10/2015 el denunciante aporta la documentación solicitada. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a Vodafone y, recibida la respuesta de esta compañía, el Inspector de Datos emite el preceptivo informe. TERCERO: De todo lo actuado se concluyó, salvo prueba en contrario, que Vodafone había realizado tratamiento de los datos personales del denunciando sin tener en cuenta el principio de calidad del dato que establece la normativa de protección de datos. El denunciante tenía contratado con esta compañía un servicio de telefonia, y la compañía –sin su consentimiento- en la base de datos, facturas y comunicaciones figuran sus datos como titular con datos inexactos o erróneos que provocan la existencia de deuda y la consiguiente gestión de recobro por empresas de servicios en nombre de la compañía. CUARTO: Con fecha 23/05/16 la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a Vodafone España SAU con arreglo a lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por la presunta infracción del artículo 4.3 de la LOPD, tipificadas como graves en el artículo 44.3.

1. c)en la citada ley orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 QUINTO: Fue notificado el acuerdo de inicio, Vodafone presentó alegaciones y solicitó –tras reconocer la responsabilidad en los hechos imputados- una sanción por el importe mínimo de las leves en aplicación del 45.5.d),
2. b)y a), y 45.4.a), b), d), e), f),
3. h)e
4. i)de la LOPD. SEXTO: Con fecha 16/06/16 se inició el período de práctica de pruebas, acordándose las siguientes: Se dan por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos generados por los Servicios de Inspección y las alegaciones al acuerdo de inicio presentadas. SÉPTIMO: Con 01/09/16 el Instructor del procedimiento emite propuesta de resolución sancionadora consistente en Que por la Directora de la Agencia Española de Protección de Datos se sancione a Vodafone España SAU por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
5. c)de dicha norma, con una multa de 35.000 euros (treinta y cinco mil euros), de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. Notificada la propuesta, Vodafone presenta alegaciones haciendo constar su ACEPTACIÓN de la propuesta y solicitando se dicte resolución en los términos que en ella se contienen. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1 --- 06/04/14, fecha del escrito que la persona denunciante A.A.A., con DNI ***DNI.1 (IDESP *******1) recibe en su domicilio de Vodafone, por medio de la empresa de recobros Gemini R&C SL, reclamándole el pago de una deuda de 54,79 € (referencia ***REF.1) a nombre de B.B.B., DNI ***DNI.2. (Folios 10, 12) 2 --- 28/04/14, fecha del escrito que la persona denunciante A.A.A., con DNI ***DNI.1 (IDESP *******1) recibe en su domicilio escrito de Vodafone, por medio de la empresa de recobros ISGF Informes Comerciales SL, reclamándole el pago de una deuda de 54,79 € (referencia ***REF.1) a nombre de B.B.B.. (Folios 12) 3 --- 31/03/14, la persona denunciante presenta escrito de reclamación ante la OMIC del Concello de Vigo contra Vodafone haciendo constar que no debe nada y que en numerosas ocasiones así se lo han confirmado en Vodafone; que ha observado que la letra del DNI y la final de su primer apellido no coinciden con las suyas. (Folios 11) 4 --- 18/06/14, Vodafone por escrito comunica a la OMIC del Concello de Vigo que han procedido a modificar los datos en el registro de sus sistemas y D A.A.A. no presenta ningún importe pendiente de pago. La OMIC dio traslado al denunciante de dicho escrito. (Folios 3, 2) 5 --- 23/02/15, fecha del escrito que la persona denunciante A.A.A., con DNI ***DNI.1 (IDESP *******1) recibe en su domicilio escrito de Vodafone, por medio de la empresa de recobros Corporación legal 2001 SL, reclamándole el pago de una deuda C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 de 54,79 € (referencia ***REF.1) a nombre de B.B.B.. (Folios 4) 6 --- 28/04/15, fecha del escrito que la persona denunciante A.A.A., con DNI ***DNI.1 (IDESP *******1) recibe en su domicilio escrito de Vodafone, por medio de la empresa de recobros Corporación legal 2001 SL, reclamándole el pago de una deuda de 54,79 € (referencia ***REF.1) a nombre de B.B.B.. Advirtiéndole la posibilidad de inclusión en ficheros de morosos sino paga en 48 horas. (Folios 5) 7 --- Vodafone, en su escrito de 10/06/16 de alegaciones al acuerdo de inicio reconoce la infracción del artículo imputado, como ya lo hacía constar en su escrito de informe a la Inspección de Datos de 17/12/15. (Folios 28-30, 19-20) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II Se imputa a Vodafone la infracción del artículo 4 de la LOPD que señala en su apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado” y en su apartado 4 prescribe: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan en todo momento a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. De lo expuesto se deduce que Vodafone ha sido responsable del tratamiento de datos en sus propios ficheros, de su comunicación a través de tratamientos automatizados y de que el tratamiento automatizado de la información relativa al denunciante no responda a los principios de calidad de datos recogidos en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). La deuda no era cierta ni exigible a la persona denunciante. Ello supone una vulneración del principio de calidad de datos de la que debe responder por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros. Por lo tanto, se aprecia infracción del artículo 4.3 de la LOPD, por incluir el dato personal de la denunciante en ficheros de solvencia patrimonial y crédito, sin ser deudora de dicha entidad. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 El artículo 44.3.
7. c)de la LOPD tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Vodafone al tratar datos personales inexactos – en sus propios ficheros y por medio de empresas de recobros- ha vulnerado el principio de calidad de datos previsto en el artículo 4 de la LOPD. La conculcación de este principio supone la comisión de la infracción grave prevista en el transcrito artículo 44.3.
8. c)de la LOPD. IV El artículo 45 de la LOPD establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
9. a)El carácter continuado de la infracción.
10. b)El volumen de los tratamientos efectuados.
11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
12. d)El volumen de negocio o actividad del infractor.
13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
14. f)El grado de intencionalidad.
15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente." Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. A --- El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias se dan en el presente caso, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, en concreto, su apartado d), pues Vodafone ha reconocido los hechos y su responsabilidad. En todo caso, recordar la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos. Por dicho motivo procede imponer las multas por un importe que se encuentre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 entre 900 € y 40.000 € en aplicación de lo previsto en el apartado 5.
24. d)del citado artículo 45, al tener la infracción imputada la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (art. 45.1 LOPD). En relación con la aplicación solicitada concurrente de varios de los supuestos previstos en este apartado 5, hay que reseñar la sentencia de la Audiencia Nacional de fecha 28 de abril de 2015, que dice al respecto: “Una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido”.” B. Los criterios de graduación de las sanciones establecidas en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a la valoración como agravante de la culpabilidad las siguientes: -El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio de calidad del datos desde –al menos- marzo de 2004 en su base de datos de cliente del número del DNI y apellido de la persona denunciante asociado a la deuda de una tercera persona y prosiguieron con la emisión de reclamaciones de cobro, y se mantienen aún -pues no se ha acreditado la subsanación de los datos inexactos y la anulación de la deuda reclamad en su base de datos de clientes. (45.4.a)) -La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Vodafone es una empresa que tiene como actividad la comercialización de servicios de telefonia móvil -dentro de un grupo trasnacional de gran relevancia mundial- de forma casi exclusiva y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene en todo el territorio nacional, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de los datos personales de sus clientes. (45.4.c)) -En lo que se refiere al volumen de negocio de Vodafone hay que hacer constar que si bien es un hecho notorio que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora y su grupo, una de las trasnacionales más importantes. Se deduce el importante volumen de negocio de la entidad infractora, circunstancia a tener en cuenta para la graduación de la sanción. (45.4.
25. d)-El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien tramitara el alta de los datos del cliente en la base de datos, o quien ordenó efectuar tareas de recobro no tuviera intención de infringir norma alguna, pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.
26. f)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 -La imputada ha sido objeto de expedientes sancionadores por infracciones similares. (45.4.
27. g)- En lo que respecta a la falta de perjuicios causados al denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. No obstante, consta que la denunciante en defensa de sus derechos tuvo que presentar reclamación ante Consumo después de considerar subsanado el supuesto error. (45.4.
28. h)-Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. (45.4.
29. i)Valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD cuya presencia ha quedado acreditada, procede sancionar a Vodafone con multa de 35.000 € por la infracción de los artículos 4.3 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Imponer a la entidad Vodafone España SAU, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
30. c)de la LOPD, una multa de 35.000 € (treinta y cinco mil euros), de conformidad con lo establecido en el artículo 45.2, 5.
31. d)y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a Vodafone España SAU y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es