PS-00188-2014

1/18 Procedimiento Nº PS/00188/2014 RESOLUCIÓN: R/01854/2014 En el procedimiento sancionador PS/00188/2014, instruido por la Agencia Española de Protección de Datos a la entidad TELEFÓNICA MÓVILES ESPAÑA, SAU, vista la denuncia presentada por Doña A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Dña. A.A.A. (en lo sucesivo la denunciante) frente a la Entidad TELEFÓNICA MÓVILES ESPAÑA, SAU (en lo sucesivo el/la denunciado/

1. a)en el que denuncia de manera sucinta lo siguiente: Que que ha sido dada de alta en los servicios de TME como titular de las líneas telefónicas ***TEL.1/***TEL.2 que niega haber contratado. Ello ha originado una deuda que le ha sido atribuida por la operadora telefónica y reclamada a través del Departamento Jurídico Medina Cuadros Abogados. Aporta copia de la siguiente documentación: - Denuncia presentada ante la Comandancia de la Guardia Civil en fecha 22/9/2012 por los mismos hechos. - Escrito de fecha 21/03/2013 remitida por los Servicios Periféricos de la Consejería de Sanidad y Asuntos Sociales de Castilla la Mancha en Albacete en relación a la denuncia presentada por la denunciante y mediante el que se le da traslado de la respuesta dada por TME. - Respuesta de TME a la Consejería citada, fechada el 13/3/2013 en la que la operadora telefónica manifiesta: <<Sobre este tema les informo que, nuestro departamento comercial a raíz de su reclamación ha detectado una incidencia en la contratación de las líneas ***TEL.2 y ***TEL.1 con titularidad de la Sra. A.A.A.. Como consecuencia de sus alegaciones, hemos cursado las instrucciones oportunas para anular la deuda y la exclusión de ficheros de morosidad en relación a las líneas citadas anteriormente, >> SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad/es EQUIFAX IBERICA, S.L., EXPERIAN BUREAU DE CREDITO, S.A., TELEFÓNICA MÓVILES ESPAÑA, SAU, teniendo conocimiento de que: Con fecha 15/07/2013 se solicita a EQUIFAX IBERICA, SL información relativa a Dª. A.A.A. y de la respuesta recibida se desprende lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 - Respecto del fichero ASNEF: No consta información respecto del denunciante. - Respecto del fichero de NOTIFICACIONES: Consta una notificación emitida a nombre de Dª. A.A.A., con fecha de emisión 14/04/2012, por un producto de TELECOMUNICACIONES, por un importe de 878,69 € y siendo la entidad informante TME. - Respecto del fichero de BAJAS: Consta una baja asociada a la notificación citada en el apartado anterior para una operación con fecha de alta y baja en ASNEF de 10/04/2012 - 13/03/2013. El motivo consta como AMISTOSO, el importe es de 756,09 € y por vencimientos impagados primero y último de fechas 01/01/2012 - 01/02/2013. Con fecha 15/07/2013 se solicita a EXPERIAN BUREAU DE CREDITO, SA información relativa a Dª. A.A.A. y de la respuesta recibida se desprende lo siguiente: - Respecto del fichero BADEXCUG: No consta información. - Respecto del fichero de NOTIFICACIONES: Consta una notificación enviada a Dª. A.A.A. como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad TME. La notificación fue emitida con fecha 12/04/2012, por deuda de 878,69 €. - Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. Consta una operación impagada informada por TME con fecha de alta de 11/04/2012 y fecha de baja de 13/03/2013. Con fecha 15/07/2013 se solicita a la Entidad TME información relativa a Dª. A.A.A. y de su respuesta se desprende: PREVIA Como cuestión previa, manifiesta la entidad: << 1.- Como se ha informado en anteriores escritos a esta Agencia, existen casos de altas de líneas inconsentidas denunciadas por los afectados, cuyos datos han sido extraídos de Internet que, si bien no está considerada como una fuente accesible al público por la normativa española de protección de datos, no impide que millones de datos personales estén publicados en diferentes páginas. Resulta bastante sencillo para cualquier persona que quiera llevar a cabo un fraude poder utilizar unos datos personales correctos para realizar prácticamente cualquier contratación en la sociedad actual, utilizando los medios que la propia sociedad de la información pone a su disposición. En este sentido, hemos consultado Google, poniendo el nombre de la denunciante, y junto a ella, aparecen cientos de personas cuyos datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 personales están igualmente disponibles para terceros de mala fe. A título de ejemplo, aportamos copia de algunas páginas web donde constan los datos personales del denunciante:>> Aporta la entidad información extraída de dos direcciones de internet, en los que consta tanto el nombre como el DNI de la denunciante. Continúa TME: <<Con lo expuesto anteriormente, queremos llamar la atención de esta Agencia para que sea consciente de que, por muchas medidas de seguridad que esta parte intente implantar para evitar las altas fraudulentas utilizando datos de terceros, estas medidas devienen ineficaces cuando la identidad de las personas está expuesta en medios públicos y fácilmente accesibles por cualquier persona. Como se comprobará en el presente expediente, mi representada graba las contrataciones; confirma con los solicitantes de portabilidad el pedido efectuado; entrega sólo los terminales a quien ha contratado, etc. Sin embargo, no puede luchar contra estructuras delictivas perfectamente organizadas.>> SOBRE LA CONTRATACION Aporta TME impresión de pantalla en la que constan los datos de la denunciante (nombre y DNI) asociados a la dirección en (C/..................1) Madrid, dirección distinta de la aportada por la denunciante. Constan las líneas ***TEL.1 y ***TEL.2 asociadas a la denunciante a la misma cuenta de facturación, sin deuda, situación que se detalla a continuación. Ambas líneas figuran dadas de alta con fechas de alta 21/11/2011 y baja 5/01/2012. Aporta la entidad impresiones de pantalla acreditativas. Informa la entidad que ambas líneas causaron baja por fraude con fecha 5/01/2012, aportando impresiones de pantalla acreditativas. Respecto de la facturación, informa TME que en la actualidad no se encuentra pendiente de pago cantidad alguna en relación con las líneas ***TEL.1 y ***TEL.2, ya que las facturas generadas por ambas líneas asociadas a la misma cuenta de facturación quedaron anuladas por TME. Aporta pantallas acreditativas, en las que se muestra que han sido emitidas a nombre de la denunciante tres facturas, en fechas 1/1/2012, 1/2/2012, con sus correspondientes abonos en fecha 16/3/2013.Aporta igualmente copia de las facturas, en las que figuran únicamente 5 llamadas. La contratación de las líneas ***TEL.1 y ***TEL.2, a nombre de la Sra. A.A.A. se realizaron telefónicamente. Manifiesta TME que consta grabación de las líneas ***TEL.1 y ***TEL.2 de fecha 17/11/2011, de las que aporta copia. Escuchada dicha grabación, se aprecia que una persona que se identifica con el nombre y NIF de la denunciante realiza la contratación de los servicios de TME mediante la portabilidad de líneas, si bien no se escucha en ningún momento los números que se están contratando. Aporta la entidad impresión de pantalla según la cual dicha grabación se realizó el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 17/11/11. Informa TME que las solicitudes de portabilidad realizadas al operador donante fueron confirmadas, en este supuesto concreto por Vodafone, culminaron con éxito en ambas líneas, no siendo rechazadas por el operador donante. Acredita la entidad el hecho mediante impresión de pantalla del sistema de verificación, en el que la entidad verificadora (Argonauta) hace constar al expresión “alta portada, en lugar de “alta denegada”. Se remita TME a las explicaciones dadas durante la inspección de oficio realizada a la entidad. COMUNICACIONES Y CONTACTOS Manifiesta la operadora que no le constan contactos al respecto. RECLAMACIONES Existe reclamación presentada ante la Junta de Castilla-La Mancha (Albacete) en la que manifiesta su disconformidad con la contratación de las líneas ***TEL.1 y ***TEL.2, sobre las cuales no reconoce su titularidad. La reclamación formal presentada por la denunciante entró en TME con fecha 8 de marzo de 2013 siendo contestada el día 13 del mismo mes, informándose a la denunciante que atendiendo a su reclamación se procedía a anular la totalidad de facturas generadas por ambas líneas, así como a solicitar baja en los ficheros de solvencia patrimonial y crédito. Aporta copia de la reclamación y la respuesta dada por la entidad, coincidentes con las aportadas por la denunciante. SOBRE LA INCLUSIÓN EN FICHEROS DE SOLVENCIA Los datos de la denunciante estuvieron incluidos en ficheros de solvencia desde el 29/01/2012 hasta el 8/03/2013, fecha en la que TME recibió la reclamación formal presentada ante la Consejería de Sanidad y Asuntos Sociales Comunidad de Castilla-La Mancha. Aporta pantallas acreditativas al respecto. TERCERO: Con fecha 11 de abril de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la Entidad TELEFÓNICA MÓVILES ESPAÑA, SAU, por presunta infracción de los artículos 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como infracción grave en el artículo 44.3
2. b)y
3. c)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ hasta 300.000€., de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad TELEFÓNICA MÓVILES ESPAÑA, SAU mediante escrito de fecha 14/05/14 formuló alegaciones, significando de manera sucinta lo siguiente: Respecto a los hechos. Respecto a la grabación aportada es posible que el operador comenzara a grabar un poco después de comenzar la contratación pero no obstante en todo momento queda patente el consentimiento otorgado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 Asimismo, las solicitudes de portabilidad realizadas por TME al operado donante fueron confirmadas por Vodafone, culminando con éxito ambas portabilidades, es decir, que no fueron rechazadas por el operador donante. Respecto a la exclusión de los ficheros de solvencia y anulación de facturas. Los datos de la denunciante fueron excluidos de los ficheros de solvencia patrimonial, así como, las facturas generadas anuladas el día 08/03/13, fecha en la que se recibió la reclamación formal presentada ante la Consejería de Sanidad y Asuntos Sociales de la CCAA de Castilla-La Mancha (…). Respecto a los fundamentos de Derecho. Presunta infracción del art. 6.1 LOPD. En relación con la grabación de las contrataciones TME ha acreditado que adoptó las medidas suficientes para acreditar el consentimiento inequívoco del titular de los datos. Presunta infracción del art. 4.3 LOPD. Los datos de la denunciante estuvieron incluidos hasta el día 08/03/13, fecha en la que se recibió la reclamación formal presentada ante la Consejería de Sanidad y Asuntos Sociales de la CCAA de Castilla-La Mancha (…) actuando mi representada de inmediato. Ausencia de culpabilidad. Sin perjuicio de lo expuesto, entendemos que en el presente caso no concurre culpabilidad alguna de mi representado. No existe el elemento subjetivo de culpa requerido para la imposición de sanciones administrativas, ya que mi mandante ha actuado con plena y fundad creencia excluyente de toda responsabilidad. TME ha actuado de buena fe por lo que no se le puede imputar un actuar doloso, ni culposo y de forma diligente actuando nada más conocer los hechos. Aplicación subsidiaria del art. 45.5 LOPD. En el supuesto de que no fueran atendidas las alegaciones anteriores por esa AEPD, solicitamos de la misma que se tengan en cuenta las especiales circunstancias que se han producido en el presente procedimiento para Archivar el procedimiento (no intencionalidad, ausencia de culpabilidad,…) al menos en atención a lo dispuesto en el art. 45.5 de la LOPD, resuelva si no Archivar el presente procedimiento si reducir la sanción a proponer. Por todo lo expuesto solicita que se admita el presente escrito y tenga por formuladas las alegaciones y tras los trámites oportunos proponga declaración de inexistencia de responsabilidad o aminore la cuantía de la propuesta en atención a lo previsto en el art. 45.5 LOPD. QUINTO: Con fecha 27/05/14 se inició el período de práctica de pruebas, en el que se acuerda requerir a la Entidad—Banco Santander—información referente al nº de cuenta ***CCC.1 aportado por la Entidad denunciada—TME—como asociada a la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 SEXTO. En fecha 30/06/14 se recibe en esta AEPD escrito de contestación de la Entidad—Santander—al requerimiento de prueba/s solicitado, poniendo en conocimiento los siguientes extremos: “Doña A.A.A. no es ni ha sido titular de la cuenta bancaria ***CCC.2—“ “La cuenta bancaria número ***CCC.2 no consta en nuestro sistemas”. SÉPTIMO: En fecha 14/07/14 se emite “propuesta” de Resolución frente a la EntidadTME—en la que se propone una sanción de 50.000€ por la infracción del contenido del art. 6.1 LOPD, así como, una sanción de 50.000€ por la infracción del art. 4.3 LOPD al haber incluido los datos del afectada en los ficheros de solvencia patrimonial y crédito por una deuda que no había generado. OCTAVO: EN fecha 04/08/14 se recibe en esta AEPD escrito de alegaciones de la Entidad—TME—a la propuesta de Resolución enviada de fecha 14/07/14 en dónde pone de manifiesto lo siguiente: Presunta infracción del art. 6.1 LOPD. Ausencia de culpabilidad. TME si que contaba con el consentimiento de la afectada para el tratamiento de sus datos personales, como lo acredita la citada documentación, no existiendo en consecuencia vulneración del art. 6.1 LOPD. Lo que parece sorprendente es que la AEPD no admita la grabación aportada por “defectuosa” cuando en casos similares si que ha admitido una grabación como prueba suficiente de la contratación efectuada. Sobre la calificación de la infracción. Concurrencia de circunstancias atenuantes. Se desestima la aplicación del art. 45.5 LOPD invocada por mi representada en las alegaciones al Acuerdo de Inicio. TME procedió conforme a las operativas de contratación telefónica ya informadas a la grabación del consentimiento para la tramitación del alta con portabilidad de las líneas sin que la omisión de la numeración de las líneas objeto del contrato deba llevar a considera la grabación como “defectuosa”. En segundo lugar, TME procedió a analizar el patrón de consumo de las líneas una vez dadas de alta y se procedió a la suspensión cautelar de las misma el 05/12/11 con restricción de todas las llamadas entrantes y salientes a la espera der que el titular aportase las garantías solicitadas. Por último, nos oponemos a la calificación jurídica que se realiza de que los hechos podrían suponer una infracción grave tipificada en el art. 44.3
4. d)de la LOPD. Efectivamente, los datos de la denunciante quedaron excluidos de los ficheros de solvencia patrimonial, así como, las facturas generadas anuladas el día 08/03/13, fecha en la que se recibió la reclamación formal presentada ante la Consejería de Sanidad y Asuntos Sociales de la CCAA Castilla La Mancha. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 El asunto ha quedado resuelto en su totalidad 4 meses antes de la recepción en TME del expediente informativo E/03752/13 y un año y un mes antes de que se recibiera la notificación del PS/00188/14. Considera TME que le sería de aplicación sin perjuicio de los apartados e y f del citado artículo, el apartado letra i), por cuanto ha quedado acreditado que TME tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal (…). Entendemos que debería aplicarse el art. 45.5 apartado
5. b)LOPD en lo relativo a la diligencia y agilidad con la que TME regularizó la situación irregular. NOVENO. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. En fecha 17/04/13 se recibe en esta AEPD reclamación de la afectada frente a la Entidad denunciada—TME—por presunta contratación sin su consentimiento. En apoyo de su pretensión aporta copia de la denuncia presentada ante las Fuerzas y Cuerpos de Seguridad del Estado en fecha 22/09/12 en dónde denuncia: “Que nunca ha poseído ninguna de las líneas citadas--***TEL.1 y ***TEL.2—y que seguramente alguien ha utilizado sus datos de carácter personal para efectuar el contrato”—folio nº 9--. Segundo. En los sistemas de información de la Entidad denunciada—TME— constan los datos de la denunciante manifestado la misma que la contratación se efectuó de manera telefónica (folio nº 55) efectuándose la misma en fecha 17/11/11. Escuchada dicha grabación, se aprecia que una persona que se identifica con el nombre y NIF de la denunciante realiza la contratación de los servicios de TME mediante la portabilidad de líneas, si bien no se escucha en ningún momento los números que se están contratando. Tercero. Las líneas objeto de controversia --***TEL.1 y ***TEL.2—constan de la siguiente manera en los sistemas de información de TME:  Línea ***TEL.1 fecha de alta 21/11/2011 y fecha de baja 05/01/12.  Línea ***TEL.2 fecha de alta 21/11/2011 y fecha de baja 05/01/12. En ambos casos el pago por domiciliación bancaria está asociado al siguiente número de cuenta: ***CCC.1. Las líneas --***TEL.1 y ***TEL.2—causaron baja por Fraude con fecha 05/01/12, adjuntando pantallas acreditativas de tales extremos.—folio nº 52--. Cuarto. En los sistemas de información de la Entidad denunciada—TME— consta la siguiente reclamación de la afectada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 “Existe reclamación presentada ante la Junta de Castilla La Mancha (Albacete) en la que manifiesta su disconformidad con la contratación de las líneas ***TEL.1 y ***TEL.2, sobre las cuales no reconoce su titularidad”.—folio nº 54--. Quinto. La Entidad denunciada—TME—ha tratado los datos de la afectada mediante la emisión de facturas, aportando copia de las mismas:  Factura ***FACTURA.1 Total importe 803,69€. Fecha 01/02/12.—folio nº 62 y 63--.  Factura ***FACTURA.2. Total importe 75,00€ Fecha 01/01/12.—folio nº 64 y 65--. Sexto. Los datos de la afectada fueron incluidos en los denominados ficheros de solvencia patrimonial y crédito: “Respecto a la cuenta de facturación ***CUENTA.1 correspondiente con las líneas ***TEL.1 y ***TEL.2 los datos de la afectada estuvieron incluidos desde el día 29/01/12 hasta el 08/03/13, fecha en la que se recibió la reclamación formal presentada ante la Consejería de Sanidad y Asuntos Sociales CCAA Castilla La Mancha”—folio nº 59--. Séptimo. Queda acreditado que la cuenta bancaria que consta en los sistemas de información de la Entidad denunciada –TME—asociada a la afectada--***CCC.2-- no es de su titularidad, ni existe como tal según acredita documentalmente la Entidad financiera—Santander—(folio nº 125 y 126). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
6. g)en relación con el artículo 36 de la LOPD. II El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquenlos datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. II En el presente caso, se procede a examinar la reclamación de fecha de entrada en esta AEPD—17/04/13—en dónde la afectada pone de manifiesto lo siguiente: “que no entiende en qué momento se realizó el supuesto contrato y quien prestó dicho consentimiento para dar de alta dos líneas telefónicas con Movistar sin tan siquiera saber que uso se hizo de ellas (…)”—folio nº 2--. Los hechos anteriormente descritos podrían suponer una presunta infracción del contenido del art. 6.1 LOPD que dispone lo siguiente ““El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. La Entidad denunciada—TME—en aras del ejercicio de defensa aporta copia de la grabación asociada a las líneas con la siguiente numeración --***TEL.1 y ***TEL.2—que se realizaron telefónicamente. En fase de instrucción—ex art. 78 Ley 30/92, 26 de noviembre—se aprecia que una persona que se identifica con el nombre y NIF de la denunciante realiza la contratación de los servicios de TME mediante la portabilidad de líneas, si bien no se escucha en ningún momento los números que se están contratando. Por tanto, se puede concretar que la grabación aportada es una grabación defectuosa que no cumple con los requisitos mínimos exigibles en orden a dar el alta de la línea/s objeto de contratación. El art.3
7. h)de la LOPD define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen". El artículo 6.1 de la LOPD exige el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal. El adjetivo "inequívoco" que califica al consentimiento, significa según el Diccionario de la Real Academia Española "que no admite duda o equivocación" y, por contraposición, a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. Precepto que no establece ni requiere que el consentimiento tenga que prestarse de una forma determinada, ni expresa o por escrito. Esta Sala viene considerando que no es necesario que dicho consentimiento se preste de forma expresa, así ya las SSAN, Sec. 1ª, de 1-2-2006 (Rec.250/2004 y 20-9-2006 (Rec. 626/2004), señalan que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito, requisitos que si prevé en cambio para el caso de tratamiento de datos muy concretos, como los especialmente protegidos ( art.7 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 LOPD) en los que si se exige, bien el consentimiento expreso y por escrito del afectado (art.7.2) o solo expreso (art.7.3) según sean los datos sensibles objeto de tratamiento. Por lo expuesto, el consentimiento se puede producir de forma expresa (oral o escrita) o por actos reiterados del afectado que revele que efectivamente ha dado ese consentimiento con los requisitos expuestos, consentimiento tácito. Por otro lado, la carga de acreditar la existencia del "consentimiento inequívoco", a que hace referencia el art. 6.1 de la LOPD , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -). A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. En el caso que nos ocupa, como se ha indicado la grabación aportada es defectuosa por lo que no permite acreditar en Derecho de forma indubitada que la Entidad denunciada—TME—contara con el consentimiento de la afectada en orden al tratamiento de sus datos de carácter personal. Así las cosas, no consta que el tratamiento de los datos de carácter personal de la denunciante se realizaran con su consentimiento, al no haber aportado el preceptivo documento contractual que legitime la contratación, incurriendo, por ello, en la infracción tipificada en el art. 44.3.
8. b)de la LOPD. IV En el presente procedimiento se procede a examinar, igualmente, la inclusión de los datos de la denunciante en los denominados ficheros de solvencia patrimonial y crédito. Los “hechos” anteriormente podrían suponer una infracción del contenido del art. 4.3 LOPD—LO 15/99—que dispone lo siguiente: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.”; tipificada como infracción grave en el art. 44.3
9. c)de la referida norma, en su redacción vigente en el momento de cometerse los hechos denunciados. La Entidad denunciada en su escrito de alegaciones-14/05/14—manifiesta lo siguiente: “Los datos de la Sra. A.A.A. estuvieron incluidos hasta el día 8 de marzo de 2013, fecha en la que se recibió la reclamación formal presentada ante la Consejería de Sanidad y Asuntos Sociales CCAA Castilla La Mancha, actuando mi representada de inmediato”. Invoca también la Entidad denunciada—TME--la existencia de concurso medial por cuanto la infracción del principio del consentimiento ha sido medio necesario para que haya habido también tratamiento de datos inexactos, por lo que la aplicación del artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 4.4 del Reglamento para el ejercicio de la potestad sancionadora aprobado por Real Decreto 1398/1993 conduce a que se imponga únicamente una sola sanción. El citado artículo 4 del Real Decreto 1398/1993, dispone "En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida" . La STS de 8 de febrero de 1999 (Rec. 9/1996) interpreta dicho precepto en el sentido que, "exige para la aplicación del concurso medial, una necesaria derivación de unas infracciones respecto de las demás y viceversa, por lo que es indispensable que las unas no puedan cometerse sin ejecutar las otras". Sin embargo, en el caso de autos de acuerdo con el criterio reiterado de la Audiencia Nacional en supuestos similares, no cabe apreciar el citado precepto al no concurrir los presupuestos establecidos para ello, por cuanto el tratamiento de datos del afectado sin su consentimiento pudo llevarse a cabo sin necesidad de comunicar sus datos al fichero de solvencia patrimonial Asnef, o lo que es igual, del tratamiento de los datos del denunciante sin su consentimiento no se deriva necesariamente la vulneración del principio de calidad de datos en relación con el artículo 29.4 de la LOPD , dado que Telefónica no se limitó al tratamiento de los datos del afectado sin su consentimiento, sino que además los comunicó al citado fichero de solvencia patrimonial y crédito, pudiendo haber decidido no haberlos incluido en dicho fichero, tratándose en definitiva de dos infracciones distintas e independientes en el presente caso. De la documentación obrante en el Expediente administrativo (folio nº 23) cabe indicar que los datos de la afectada fueron incluidos por la Entidad denunciada—TME—en el fichero de “morosidad” Asnef (Equifax) en fecha 10/04/12 y fueron dados de baja en fecha 13/03/13; mientras que en el fichero de “morosidad” Experian (Badexcug) consta la inclusión en fecha en fecha 11/04/12 y la baja en fecha 13/03/13 “por proceso automático semanal de actualización de datos”—folio nº 40--. De conformidad con lo argumentado cabe concluir que la Entidad—TME— procedió a comunicar los datos de la afectada a los ficheros de solvencia patrimonial y crédito, conculcando el contenido del art. 4.3 LOPD. V Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD". V El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
10. a)El carácter continuado de la infracción.
11. b)El volumen de los tratamientos efectuados.
12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
13. d)El volumen de negocio o actividad del infractor.
14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
15. f)El grado de intencionalidad.
16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “..no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 casos muy extremos…”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar las operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de dato (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. En cuanto a la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” En el caso que nos ocupa, ha quedado acreditada la falta de diligencia de la Entidad—TME—a la hora de proceder a la contratación de las líneas objeto de controversia entre las partes, lo que supone una infracción del contenido del art. 6.1 LOPD, esto es, la grabación aportada es defectuosa, el número de cuenta corriente de la afectada no le pertenece según Informe de la Entidad financiera—Santander-- y no se adoptó medida alguna tendente a verificar la contratación (vgr. aportación de copia del DNI de la afectada o llamada de bienvenida a modo ilustrativo). No obstante lo anterior, se tiene en cuenta la aplicación del art. 45.5 apartado
20. a)de la LOPD—LO 15/99--; en concreto se procede a valorar como circunstancias atenuantes, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18   El apartado
21. i)del art. 45.4 LOPD. “…entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor”, como queda probado con la aportación de una grabación aunque deficiente (folio nº 112). El apartado
22. e)del art. 45.4 LOPD. En este caso, se produce la entrega de terminales de telefonía (cuyo coste asume la Entidad denunciada), así como, se produce la anulación de las facturas generadas por el consumo fraudulento. A la hora de motivar la sanción a imponer se tienen en cuenta los criterios del art. 45.4 LOPD, en concreto se tiene en cuenta que:  TME es una compañía habituada a tratar con potenciales clientes en el marco de las telecomunicaciones y que está en continuo contacto con datos personales de los mismos por lo que debe adoptar medidas incardinadas a la protección de sus datos en el marco de la LOPD.—45.4
23. c)LOPD--.  TME según fuentes consultadas obtuvo en el ejercicio económico 2013 unos beneficios de unos aproximadamente 3.145 millones de Euros.— 45.4
24. d)LOPD--.  La naturaleza de los perjuicios ocasionados a la persona interesada.45.4
25. h)LOPD--. En base a lo expuesto, se considera acertado imponer una sanción cifrada en la cuantía de 20.000€ por la infracción acreditada a título de culpa del contenido del art. 6.1 LOPD; sanción de carácter medio dentro de la escala de las infracciones leves. Para la inclusión de los datos en ficheros de información sobre solvencia patrimonial y crédito, se requiere que la deuda sea cierta (al inicio del apartado 1.
26. a)del art. 38, y que haya sido previamente requerida de pago, requerimiento previo que no concurre en el supuesto de autos en relación con la inclusión de los datos de la denunciante en los ficheros de morosidad. La Entidad—TME—alega en fecha 04/08/14 que los “datos de la afectada fueron excluidos de los ficheros de solvencia patrimonial, así como, las facturas generadas anuladas el día 08/03/2013, fecha en la que se recibió la reclamación formal presentada ante la Consejería de Sanidad y Asuntos Sociales de la CCAA Castilla La Mancha”. Como ha quedado acreditado en la documentación aportada por la denunciante (folio nº 11) ésta presentó en fecha 04/03/13 en la Consejería de Sanidad y Asuntos Sociales de la CCAA de Castilla y La Mancha denuncia sobre los “hechos “expuestos. Cabe tener en cuenta como circunstancia atenuante de la conducta de la Entidad denunciada—TME—el contenido del apartado
27. b)del art. 45.5 LOPD. “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 De manera que desde que tiene conocimiento de la reclamación de la afectada la actuación de la Entidad—TME—pude ser considerada como diligente al excluir de forma inmediata los datos de la misma de los denominados ficheros de “morosidad” y proceder a la anulación de las facturas generadas. Por tanto, se considera acertado establecer la sanción a imponer dentro de la escala de las infracciones leves, cuya cuantía establecida legalmente abarca desde 900€ hasta 40.000€. A la hora de motivar la sanción a imponer se tienen en cuenta los criterios del art. 45.4 LOPD, en concreto se tiene en cuenta que:  TME es una compañía habituada a tratar con potenciales clientes en el marco de las telecomunicaciones y que está en continuo contacto con datos personales de los mismos por lo que debe adoptar medidas incardinadas a la protección de sus datos en el marco de la LOPD.—45.4
28. c)LOPD--.  TME según fuentes consultadas obtuvo en el ejercicio económico 2013 unos beneficios de unos aproximadamente 3.145 millones de Euros.— 45.4
29. d)LOPD--.  La naturaleza de los perjuicios ocasionados a la persona interesada.45.4
30. h)LOPD--. Por todo lo expuesto, se acuerda imponer una sanción de 20.000€ por la infracción del art. 4.3 LOPD, teniendo en consideración la aplicación del art. 45.5 letra
31. b)LOPD a raíz de la diligencia mostrada por TME en la “regularización de la situación irregular” tan pronto tuvo conocimiento de la misma. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TELEFÓNICA MÓVILES ESPAÑA, SAU, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3
32. b)de dicha norma, una multa de 20.000€ (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad TELEFÓNICA MÓVILES ESPAÑA, SAU, por una infracción del artículo 4.3 de la LOPD, tipificada como infracción grave en el artículo 44.3
33. c)de dicha norma, una multa de 20.000€ (veinte mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a la Entidad --TELEFÓNICA MÓVILES ESPAÑA, SAU-- y a Doña A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es