← España

PS-00202-2018

1/25 Procedimiento Nº PS/00202/2018 RESOLUCIÓN: R/01721/2018 En el procedimiento sancionador PS/00202/2018, instruido por la Agencia Española de Protección de Datos a la entidad XFERA MÓVILES, S.A., vista la denuncia presentada por D.ª A.A.A. y, en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 30/01/2018 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que expone que MÁS MÓVIL TELECOM, 3.0, S.A.U., ha dado de alta sin su consentimiento, en fecha 19/11/2017, asociado a su nombre, apellidos y NIF, un pack telefónico formado por dos líneas móviles, una línea fija y fibra óptica. Con fecha 14/12/2017 se inscribió en el Registro Mercantil (fecha de publicación en el BORME el 21/12/2017) la fusión por absorción entre XFERA MÓVILES, S.A., y MÁS MÓVIL TELECOM, 3.0, S.A.U., (MÁS MÓVIL), siendo la entidad absorbente XFERA MÓVILES, S.A. Esto explica que, pese a dirigirse la denuncia frente a MÁS MÓVIL, el acuerdo de inicio del presente expediente sancionador se abra a XFERA MÓVILES, S.A., (en lo sucesivo, XFERA MÓVILES o la denunciada) La denunciante anexa a la denuncia la copia de un contrato a su nombre que le ha facilitado MÁS MÓVIL a raíz de la reclamación formulada ante ella. Constata que de los datos que figuran en el documento los únicos que se corresponden con su persona son el nombre, apellidos y DNI, pero no los demás: domicilio, fecha de nacimiento, email y número de teléfono de contacto. Al tiempo de acontecer los hechos que se denuncian la denunciante era cliente de MÁS MÓVIL con quien tenía contratada, al menos, una línea móvil (***TELEFONO.5) El documento contractual que la denunciante aporta “-Contrato de Servicios Combinados MASMOVIL particulares”- , lleva el anagrama de MÁS MÓVIL y tiene el siguiente contenido: -En el apartado datos personales del cliente, figuran el nombre y dos apellidos de la denunciante y su NIF. Como domicilio, la ***DIRECCION.1. El email de contacto es ***EMAIL.1. y el teléfono de contacto ***TELEFONO.1. -En el apartado “Dirección de instalación (completar sólo en caso de que sea diferente a la de facturación)” figura el domicilio antes transcrito de ***DIRECCION.1. -En C/ Jorge Juan, 6 28001 – Madrid el apartado “Servicios contratados”, se mencionan las líneas www.agpd.es sedeagpd.gob.es 2/25 ***TELEFONO.2 (alta nueva) y ***TELEFONO.3 (portada), el ADSL por fibra y el teléfono fijo ***TELEFONO.4 (alta nueva) -En el apartado “Dispositivo entregado”, se menciona un router FTTH indicando que el cliente se compromete a devolver los equipos de conexión en la baja o a abonar la cantidad de 100 euros. -En el apartado “Facturación”, figuran los veinte dígitos de una cuenta bancaria perteneciente a la entidad 2103 y, como titular de la factura, los datos personales de la denunciante. Además, el “Contrato de Servicios Combinados MÁSMOVIL particulares” no está firmado y lleva fecha de 19/11/2017 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad MÁS MÓVIL. En fecha 16/03/2018 se recibe en la AEPD la respuesta de MÁS MÓVIL a su requerimiento teniendo conocimiento de los siguientes extremos: A tenor del documento 1, en los ficheros de esa entidad constan los datos personales de la denunciante -nombre, dos apellidos y NIF- y un domicilio en ***DIRECCION.3 -que coincide con el facilitado por ella en su denuncia- asociados a un total de ocho líneas de telefonía de las cuales están activas las correspondientes a los números ***TELEFONO.5 y ***TELEFONO.6. - La denunciante reconoce como suyas las líneas ***TELEFONO.7 y ***TELEFONO.5. - MÁS MÓVIL ha remitido a la AEPD diversos documentos, todos relativos a la línea ***TELEFONO.5, sobre cuya contratación no existe controversia toda vez que la denunciante reconoce haber contratado esa línea. Aporta impresiones de pantalla relativas a las líneas que la denunciante niega haber contratado: ***TELEFONO.2, ***TELEFONO.3 y ***TELEFONO.4. De las impresiones de pantalla resulta: - La línea ***TELEFONO.2, con la que se contrata el producto “Tarifa extra línea 500Mb”, tiene como fecha de inicio el 29/11/2017 y como fecha de fin el 31/01/2018. La línea ***TELEFONO.3, con la que se contrató el producto “Tarifa MAS 2GB CONV”, se dio de alta y baja en las mismas fechas que la anterior. También la línea ***TELEFONO.4, “Tarifa fijo con ADSL”, se contrató y se dio de baja en las fechas indicadas. - MÁS MÓVIL aporta tres grabaciones de conversaciones telefónicas. De ellas sólo la segunda grabación alude a una conversación mantenida con una persona que se identifica con el nombre, apellidos y NIF de la denunciante: 2ª grabación. Transcripción - Sí, buenos días C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 - Hola, ¿A.A.A.?, - Buenos días - Sí, mira, pues te llamo para hacerte la verificación de voz, vale, de la tarifa de 300 de fibra que acabáis de contratar - Sí, me lo ha dicho mi hija -Vale, perfecto, pues mira. D.ª A.A.A.. Le resumo brevemente las características del producto que acaba de contratar. Le damos la bienvenida al proceso de contratación telefónica de Más Móvil. Le informo que esta conversación está siendo grabada. De acuerdo con la Ley de Protección de Datos sus datos personales serán incorporados a un fichero automatizado titularidad de Más Móvil Telecom con los fines de comercialización, prestación del servicio, mantenimiento, información comercial y publicidad de los servicios de Mas Móvil. Podrá ejercitar en cualquier momento los derechos de acceso, rectificación, cancelación y oposición dirigiéndose a Más Móvil, en avenida de La Vega 28108 Alcobendas, Madrid, en el teléfono gratuito 2373 o enviando un email a hola@masmovil.es Son las doce horas y seis minutos del día 19 de noviembre del año 2016. Y el servicio consta de una línea de teléfono fijo con llamadas ilimitadas a fijos nacionales y sesenta minutos a móviles al mes, una conexión a internet de fibra óptica de 300 megas (¿) con router wifi gratuito y una línea de móvil con llamadas ilimitadas y 2 gigas de capacidad de datos. En caso de consumir los datos se activa un bono de 100 megas por sólo uno con cincuenta con un máximo de hasta seis bonos. En caso de que usted no desee el bono deberá desactivar los datos móviles del terminal antes de consumir los datos. Es usted doña A.A.A., con DNI ***DNI.1. Va a ser usted la persona titular de la línea fija, ¿es correcto, verdad? - Es correcto -Y también es usted la titular de la línea móvil que vamos a portar hacia Más Móvil, ***TELEFONO.3 ¿es correcto, verdad? -Es correcto -El precio total que va a pagar usted por el servicio es de solo 36,89 iva incluido por tres meses y después 44,89 iva ya incluido. El precio es definitivo y garantizado de por vida lo que significa que Más Móvil nunca se lo va a subir. El compromiso de permanencia asociado a la promoción sería de 12 meses. Y le recuerdo que si usted solicitase la cancelación del producto contratado tras la instalación o se diera de baja antes de transcurrir tres meses desde dicha instalación deberá de abonar a Más Móvil 170 euros por los gastos administrativos y de instalación asociados a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 dicha contratación. Más Móvil solicitará la portabilidad de su línea móvil que va a causar baja en su operador y alta en Más Móvil. ¿Sí que está de acuerdo, A.A.A.? -Correcto -Más Móvil le informa como establece la legislación vigente el plazo de cumplimiento de la obligación de tramitar la solicitud será de un día desde que surja dicha obligación para el operador, salvo que usted elija una fecha posterior. ¿Está de acuerdo en que la obligación de tramitar la portabilidad móvil por parte de Mas Móvil surja en el momento que se le active el servicio de telefonía fija? ¿Está de acuerdo? -Correcto -Autorización para la cuenta bancaria. Doña A.A.A., con DNI ***DNI.1 número de cuenta bancaria XXXX XXXX XXXXXXXXXXXX, ¿autoriza usted a Más Móvil para que pueda cobrar las facturas emitidas a nombre del cliente como consecuencia de este contrato mediante adeudos en su cuenta bancaria? -Sí -Estos datos se recaban con la finalidad antes indicada. Formarán parte de un fichero de Más Móvil inscrito ante la Agencia Española de Protección de Datos. Podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición dirigiéndose por escrito, con copia de su DNI o pasaporte, a Más Móvil, avenida de La Vega 15, 28108 Alcobendas. Más Móvil podrá comprobar su solvencia en ficheros comunes sobre solvencia patrimonial y crédito cuyos responsables presten el servicio con arreglo a la legalidad vigente, así como por procedimientos automatizados del sistema de scoring. Más Móvil también podrá verificar la exactitud de los datos aportados y obtener datos de las entidades bancarias que nos faciliten. Doña A.A.A. hemos terminado el proceso de verificación de su portabilidad. Bienvenida a Más Móvil Ahora volveré a llamar a B.B.B., ¿vale A.A.A.?” (El subrayado es de la AEPD) 1ª grabación. Destacan los siguientes aspectos: Se inicia con la bienvenida al departamento comercial de MÁS MÓVIL y con la pregunta ¿qué deseas contratar? La teleoperadora le pregunta por su nombre para mantener la conversación y dice llamarse “B.B.B.”. La interesada entre otras cuestiones explica que desea mantener el número de línea ***TELEFONO.3, por lo que ha de portarse de ORANGE. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 La teleoperadora dice “indíqueme el DNI del nombre al que lo vais a poner, B.B.B.”, a lo que la interesada responde facilitando el NIF de la denunciante. A continuación, la teleoperadora señala: “¿Y el nombre de la persona es A.A.A.? ¿Y la fecha de nacimiento cuál sería, de A.A.A.? La interesada responde facilitando como fecha el ***FECHA. No se menciona en ningún momento la fecha en la que la conversación se está manteniendo. 3ª grabación Destacan los siguientes aspectos: Responde a la llamada B.B.B.. La teleoperadora de MÁS MÓVIL le comenta que llama para darle cita para el técnico. La interesada pregunta por la fecha en la que le llegará el número de móvil y por el contrato. MÁS MÓVIL le comenta que le llegará la copia a su dirección electrónica. - Facturas emitidas: MÁS MÓVIL declara que “Las facturas de referencia MC172193988 y MC180009747, fueron recobradas en fecha 18 de diciembre de 2017 y 16 de enero de 2018, respectivamente. La factura de referencia MC180402038, (…) fue condonada por MM a raíz de la reclamación de la Sra. A.A.A. de fecha 24 de enero de 2018, a través de la Oficina de Atención al Usuario de Telecomunicaciones de la Secretaría de Estado para la Sociedad de la Información y la Agenda Digital”. Y añadió que aportaba como “documento nº3 impresión de pantalla en la que aparecen las facturas a nombre de la reclamante”. Sin embargo, en la impresión de pantalla que adjunta como documento 3 únicamente se hace mención a las facturas MC172193988 y MC180009747. - Aporta como documento 4 una relación de los contactos mantenidos respecto a cada una de las líneas que han estado asociadas a la denunciante. Sobre las líneas controvertidas ***TELEFONO.2 y ***TELEFONO.3, se registra como fecha del primer contacto el 22/11/2017 y como fecha del último el 30/01/2018. En fecha 23/03/2018 la Inspección de Datos dirige a MÁS MÓVIL un segundo requerimiento informativo. De la respuesta recibida el 13/04/2018 resulta lo siguiente: - Se solicita a la entidad copia del boletín de instalación de la línea fija. Aporta copia de un parte de Instalación/avería con el anagrama de YOIGO en el que figura como titular “C.C.C.” ***DNI.2, firmado por C.C.C. y el código de albarán 0035371. - Se solicita que informe sobre las medidas adoptadas para acreditar la identidad de la persona que facilita como propios datos personales con ocasión de una contratación telefónica. De la respuesta resulta que la entidad se limita a recoger los datos facilitados por el interlocutor telefónico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 en el curso de una conversación que es grabada. - Se solicita que aporte copia de la grabación de verificación del proceso de portabilidad de la línea ***TELEFONO.3 efectuada según lo dispuesto en la Circular 1/2012 de la CNMC. La entidad remite un CD que contiene tres grabaciones que son las mismas que facilitó en el primer requerimiento informativo. Una de ellas es supuestamente la grabación de la portabilidad. Sin embargo, la grabación facilitada no se adecúa al formulario de la Circular 1/2009 de la CNMC modificada por la Circular 1/2012: en la grabación no se facilita el nombre del operador donante, ni el domicilio de la titular, ni del código identificativo de la solicitud. - El nombre de la empresa verificadora de la portabilidad, según manifestaciones de la entidad, fue ANDINA TELCO, con CIF B 87508958 y domicilio en ***DIRECCION.2. TERCERO: Con fecha 17/05/2018 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a XFERA MÓVILES, S.A., por presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, XFERA MÓVILES, S.A., mediante escrito de fecha 31/05/2018, solicitó una ampliación del plazo otorgado para presentar sus alegaciones. En escrito de 01/06/2018, cuya notificación fue recibida por la entidad el 05/06/2018, la instructora del expediente acuerda ampliar el plazo por el máximo permitido legalmente. El 08/06/2018 tiene entrada en la AEPD el escrito de alegaciones de la denunciada en el que solicita el sobreseimiento del expediente con el consiguiente archivo de las actuaciones. Con carácter subsidiario, solicita la imposición de una sanción por infracción leve en su grado mínimo y, subsidiariamente respecto a las anteriores pretensiones, la imposición de una sanción por infracción leve en su grado medio. Solicita asimismo “la admisión de la prueba propuesta”. No obstante, la denunciada no menciona en su escrito la práctica de ninguna diligencia de prueba. Respecto a las circunstancias que permiten graduar el importe de la sanción, solicita la aplicación del artículo 45.5.
  2. b)LOPD por cuanto, dice, una vez que recibió la reclamación de la denunciante ante la SESIAD procedió a anular la deuda que existía en sus sistemas y a suspender el procedimiento de recobro. Invoca igualmente la aplicación del artículo 45.5.
  3. e)Asimismo solicita la aplicación de la atenuante cualificada del artículo 45.5. a, LOPD tomando en consideración que, a su juicio, concurren como atenuantes las siguientes circunstancias descritas en el artículo 45.4 LOPD: los apartados b, e, i. Rechaza que sea procedente aplicar como agravantes las circunstancias de los apartados a, c, d, f, y g, del artículo 45.4. LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 QUINTO: Con fecha 17/09/2018, de conformidad con lo prevenido en el artículo 77 de la Ley 39/2015 del Procedimiento Administrativo Común de las Administraciones Públicas, se abrió un periodo de pruebas acordando la práctica de las siguientes diligencias: 1. Incorporar al procedimiento la denuncia presentada por D. ª A.A.A. y la documentación adjunta, así como la documentación recabada por la Inspección en el curso de las Actuaciones de Investigación Previa. Documentos todos ellos que integran el expediente E/00972/2018. 2. Dar por reproducidas las alegaciones al acuerdo de inicio del procedimiento PS/00202/2018 presentadas por XFERA MÓVILES y la documentación adjunta. 3. Solicitar a XFERA MÓVILES, que remita la información y documentación que se detalla seguidamente: a. Copia de las alegaciones que hubiera formulado ante la Secretaría de Estado para la Sociedad de la Información y la Agenda Digital (SESIAD) en el curso del procedimiento RC1001725/18/CONV. b. Copia de la resolución dictada, en su caso, por la SESIAD en el procedimiento referenciado anteriormente. c. Información acerca de las fechas en las que dio de alta en sus ficheros la línea móvil ***TELEFONO.3 asociada a los datos personales de la denunciante. Deberá aportar los documentos que confirmen sus manifestaciones. d. Información acerca de si en los ficheros de XFERA MÓVILES continúa asociada a los datos de la denunciante la línea ***TELEFONO.3. Sus declaraciones deberán ir acompañadas del correspondiente soporte documental. e. Información acerca de si en la actualidad se ha cancelado de sus registros la deuda asociada a la denunciante derivada del pack telefónico que se vinculó a sus datos personales. f. Copia de todas las facturas que hubiera emitido a nombre de la denunciante que incluyan entre los conceptos facturados el servicio de la línea móvil ***TELEFONO.3. g. Información acerca de si se llegó a abonar alguna factura emitida a nombre de la denunciante entre cuyos conceptos se incluyera el servicio de la línea móvil ***TELEFONO.3. En caso afirmativo deberá expresar cuál fue el medio de pago y la cuenta bancaria de abono. Las manifestaciones que haga deberán ir siempre acompañadas del oportuno soporte documental. h. Que informe si los datos personales de la denunciante fueron comunicados por XFERA MÓVILES, S.A., a los ficheros de solvencia por deudas procedentes del servicio prestado por el pack telefónico que se contrató a su nombre y que no reconoció como suyo. 4. Se solicita a la SESIAD copia íntegra del procedimiento instado ante ella C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 frente a MÁS MOVIL TELECOM 3.0, S.L., identificado con la referencia RC1001725/18/CONV A. El 03/10/2018 tiene entrada en la AEPD el escrito de XFERA MÓVILES dando respuesta a las pruebas solicitadas. Adjunta una copia de las alegaciones formuladas ante la SESIAD y de la resolución de la citada Secretaría de Estado resolviendo la reclamación RC1001725/18/CONV. A propósito de la línea controvertida, ***TELEFONO.3, manifiesta que se dio de alta el 19/11/2017 junto con otra línea móvil y el paquete fijo+ftth “tal y como muestra el contrato generado, el cual aparece sin firma del cliente ya que esa firma es ahora digital.” (El subrayado es de la AEPD) Aporta impresión de pantalla en la que consta esa fecha de alta. Informa de que no existe deuda alguna pendiente vinculada a la citada línea y que no ha comunicado a ficheros de solvencia patrimonial los datos personales de la afectada. Sobre la cancelación de los datos personales de la denunciante indica que el borrado/cancelación de datos se hace “a nivel de documento” y que al tener la denunciante líneas activas no pueden cancelarse los datos por lo que la línea controvertida consta asociada a ella “como línea terminada”. B. En fecha 24/09/2018 tuvo entrada en la AEPD la respuesta de la SESIAD a las pruebas solicitada. De la documentación aportada se desprende: Que la reclamación de la denunciante tuvo entrada en la SESIAD el 10/01/2018, asignándole la referencia RC100172518/CONV. Que en fecha 24/01/2018 la SESIAD dio traslado a XFERA MÓVILES de la reclamación y le solicitó información sobre todos y cada uno de los extremos contenidos en el citado escrito, concediéndole un plazo de 15 días para formular alegaciones. Que el 27/02/2018 la SESIAD reitera la petición de información concediéndole un plazo adicional de 5 días para evacuar el trámite. Que será el 05/03/2018 cuando MÁS MÓVIL/XFERA MÓVILES, remita a esa Secretaría de Estado su respuesta. En su escrito de contestación MÁS MÓVIL/XFERA MÓVILES manifiesta lo siguiente (folio 121): <<Tras realizar las comprobaciones oportunas verificamos que, el contrato que no reconoce es el MMC1711197553116 gestionado el 19/11/2017, las líneas asociadas ***TELEFONO.3, ***TELEFONO.8 y ***TELEFONO.4 fueron dadas de baja el 30 (móviles) y el 31 de Enero (fijo), siendo condonado el importe facturado. En virtud de lo anteriormente expuesto, MÁSMÓVIL considera desestimar la reclamación del Cliente por considerarla ya atendida>> La SESIAD dictó resolución en fecha 28/05/2018 en la que “estimó la reclamación acerca del alta no solicitada de los servicios asociados a las líneas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 ***TELEFONO.4,***TELEFONO.8 y ***TELEFONO.3” SEXTO: El 29/10/2018 se formuló propuesta de resolución en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a XFERA MÓVILES, S.A., con NIF A82528548, con multa de 70.000 € (setenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  4. b)de dicha norma.>> La propuesta se notificó electrónicamente a la entidad. En fecha 29/10/2018 se puso a su disposición a través de la aplicación notific@ y consta la aceptación por XFERA MÓVILES el 30/10/2018. Así lo acredita el certificado expedido por la FNMT que obra en el expediente. SÉPTIMO: El 15/11/2018 tienen entrada en la sede electrónica de la AEPD las alegaciones de XFERA MÓVILES a la propuesta de resolución. La entidad solicita que se proceda al sobreseimiento del expediente con el consiguiente archivo de las actuaciones. Con carácter subsidiario, solicita la imposición de la sanción, según la escala prevista para las infracciones leves, en su grado mínimo y, con carácter subsidiario respecto a las anteriores pretensiones, la imposición de la sanción conforme a la escala de las infracciones leves en su grado medio. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A., con DNI ***DNI.1, y domicilio en ***LOCALIDAD.2 ***DIRECCION.3, denuncia que MÁS MÓVIL (XFERA MÓVILES) ha dado de alta a su nombre y sin su consentimiento, en fecha 19/11/2017, un pack telefónico formado por dos líneas móviles, una fija y fibra óptica. Afirma que es cliente de la operadora y reconoce como suya la línea ***TELEFONO.5. (Folio 2) SEGUNDO: La denunciante aporta copia del contrato relativo a las tres líneas que no reconoce como suyas y que le fue facilitado por la denunciada a su solicitud: el “Contrato de Servicios Combinados MÁSMOVIL particulares”, número MMC 1711197553116. Declara que, de los datos personales que constan en ese documento, sólo coinciden con los suyos el NIF, nombre y dos apellidos. El documento tiene estas características:  Es de fecha 19/11/2017 y no se encuentra firmado por la titular. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25  El apartado 1, “Datos del canal de contratación”, está en blanco.  El apartado 2, “Datos personales del cliente”, incluye el nombre, apellidos y NIF de la denunciante. No son datos de la denunciante el domicilio que recoge el contrato (***DIRECCION.1 en la localidad de ***LOCALIDAD.1), que no coincide con el facilitado por la afectada en su denuncia, el teléfono de contacto ***TELEFONO.1 ni la dirección email ***EMAIL.1 .  El apartado 3, “Servicios contratados”, detalla los siguientes: *Línea móvil 1: ***TELEFONO.8, indicando el contrato en el apartado “Tipo de movimiento” que es un “Alta nueva” *Línea móvil 2: ***TELEFONO.3. El contrato indica en el apartado “Tipo de movimiento” que se trata de una “Portabilidad”. (El subrayado es de la AEPD) * ADSL de fibra, asociado al número de teléfono fijo ***TELEFONO.4 * Teléfono fijo ***TELEFONO.4, indicando el contrato en el apartado “Tipo de movimiento” que es un “Alta nueva”.  El apartado 5, “Cambio de titular, datos del antiguo titular”, indica en la columna “Nº teléfono a cambiar” el ***TELEFONO.3 y en la columna “Nombre y apellidos del antiguo titular” el nombre y dos apellidos de la denunciante y su NIF. (Folios 3 y 4) TERCERO: XFERA MÓVILES aporta impresiones de pantalla de sus sistemas en las que el nombre, dos apellidos y NIF de la denunciante están asociados al alta de las líneas ***TELEFONO.4, ***TELEFONO.8 y ***TELEFONO.3.  El folio 24 recoge una captura de pantalla que, en relación a la Fibra 300 simétrica MásMóvil +ilimitada 2GB, se facilita información sobre la instalación e indica como dirección la ***DIRECCION.1, ***LOCALIDAD.1, el nombre, dos apellidos y NIF de la denunciante, el email ***EMAIL.1 y el teléfono ***TELEFONO.1.  En la misma captura de pantalla, en el apartado otras “suscripciones” se mencionan las siguientes: El número ***TELEFONO.3, indicando como “Tipo”, “post-pago”, y como “Producto” “Tarifa MAS 2gb CONV”. El número ***TELEFONO.8, indicando como “Tipo” “post-pago” y como “Producto” “Tarifa extra línea 500MB”. El número ***TELEFONO.4 indicando como “Tipo” “internet FTTH” y “Fijo digital” y como “Producto”, respectivamente, “Fibra 300 MÁS MÓVIL” y “Tarifa fijo”. (Folio 24) CUARTO: XFERA MÓVILES ha aportado la copia del “Contrato de Servicios combinados MasMovil particulares”, con número MMC 17-11197553116, relativo a los tres productos que son objeto de controversia: las líneas ***TELEFONO.4, ***TELEFONO.8 y ***TELEFONO.3 (folios 54 y 55) Se trata del mismo documento que la denunciante adjuntó a su denuncia descrito en el Hecho probado segundo. Se da por reproducida aquí la descripción de su contenido que se ofrece en ese Hecho Probado. QUINTO: XFERA MÓVILES ha manifestado respecto al “Contrato de Servicios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 combinados MasMovil particulares”, con número MMC 17-11197553116, en relación con la circunstancia de que no estuviera firmado, que “aparece sin firma del cliente ya que esa firma es ahora digital” (Folio 152) SEXTO: La denunciada aportó, en prueba de la contratación de las líneas por la denunciante, tres grabaciones de conversaciones telefónicas. De ellas sólo la segunda grabación alude a una conversación mantenida con una persona que se identifica con el nombre, apellidos y NIF de la denunciante: 2ª grabación. Transcripción - Sí, buenos días - Hola, ¿A.A.A.?, - Buenos días - Sí, mira, pues te llamo para hacerte la verificación de voz, vale, de la tarifa de 300 de fibra que acabáis de contratar - Sí, me lo ha dicho mi hija -Vale, perfecto, pues mira. D.ª A.A.A.. Le resumo brevemente las características del producto que acaba de contratar. Le damos la bienvenida al proceso de contratación telefónica de Más Móvil. Le informo que esta conversación está siendo grabada. De acuerdo con la Ley de Protección de Datos sus datos personales serán incorporados a un fichero automatizado titularidad de Más Móvil Telecom con los fines de comercialización, prestación del servicio, mantenimiento, información comercial y publicidad de los servicios de Mas Móvil. Podrá ejercitar en cualquier momento los derechos de acceso, rectificación, cancelación y oposición dirigiéndose a Más Móvil, en avenida de La Vega 28108 Alcobendas, Madrid, en el teléfono gratuito 2373 o enviando un email a hola@masmovil.es Son las doce horas y seis minutos del día 19 de noviembre del año 2016. Y el servicio consta de una línea de teléfono fijo con llamadas ilimitadas a fijos nacionales y sesenta minutos a móviles al mes, una conexión a internet de fibra óptica de 300 megas (¿) con router wifi gratuito y una línea de móvil con llamadas ilimitadas y 2 gigas de capacidad de datos. En caso de consumir los datos se activa un bono de 100 megas por sólo uno con cincuenta con un máximo de hasta seis bonos. En caso de que usted no desee el bono deberá desactivar los datos móviles del terminal antes de consumir los datos. Es usted doña A.A.A., con DNI ***DNI.1. Va a ser usted la persona titular de la línea fija, ¿es correcto, verdad? - Es correcto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 -Y también es usted la titular de la línea móvil que vamos a portar hacia Más Móvil, ***TELEFONO.3 ¿es correcto, verdad? -Es correcto -El precio total que va a pagar usted por el servicio es de solo 36,89 iva incluido por tres meses y después 44,89 iva ya incluido. El precio es definitivo y garantizado de por vida lo que significa que Más Móvil nunca se lo va a subir. El compromiso de permanencia asociado a la promoción sería de 12 meses. Y le recuerdo que si usted solicitase la cancelación del producto contratado tras la instalación o se diera de baja antes de transcurrir tres meses desde dicha instalación deberá de abonar a Más Móvil 170 euros por los gastos administrativos y de instalación asociados a dicha contratación. Más Móvil solicitará la portabilidad de su línea móvil que va a causar baja en su operador y alta en Más Móvil. ¿Sí que está de acuerdo, A.A.A.? -Correcto -Más Móvil le informa como establece la legislación vigente el plazo de cumplimiento de la obligación de tramitar la solicitud será de un día desde que surja dicha obligación para el operador, salvo que usted elija una fecha posterior. ¿Está de acuerdo en que la obligación de tramitar la portabilidad móvil por parte de Mas Móvil surja en el momento que se le active el servicio de telefonía fija? ¿Está de acuerdo? -Correcto -Autorización para la cuenta bancaria. Doña A.A.A., con DNI ***DNI.1 número de cuenta bancaria XXXX XXXX XXXXXXXXXXXX, ¿autoriza usted a Más Móvil para que pueda cobrar las facturas emitidas a nombre del cliente como consecuencia de este contrato mediante adeudos en su cuenta bancaria? -Sí -Estos datos se recaban con la finalidad antes indicada. Formarán parte de un fichero de Más Móvil inscrito ante la Agencia Española de Protección de Datos. Podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición dirigiéndose por escrito, con copia de su DNI o pasaporte, a Más Móvil, avenida de La Vega 15, 28108 Alcobendas. Más Móvil podrá comprobar su solvencia en ficheros comunes sobre solvencia patrimonial y crédito cuyos responsables presten el servicio con arreglo a la legalidad vigente, así como por procedimientos automatizados del sistema de scoring. Más Móvil también podrá verificar la exactitud de los datos aportados y obtener datos de las entidades bancarias que nos faciliten. Doña A.A.A. hemos terminado el proceso de verificación de su portabilidad. Bienvenida a Más Móvil Ahora volveré a llamar a B.B.B., ¿vale A.A.A.?” (El subrayado es de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 la AEPD) (Folio 15) SÉPTIMO: En relación con la línea controvertida ***TELEFONO.3, que según la documentación de XFERA MÓVILES fue portada de otro operador, se solicitó a la denunciada que facilitara a la Agencia una copia de la grabación del proceso de verificación de la portabilidad de esa línea a MÁS MÓVIL, efectuada conforme a lo dispuesto en la Circular 1/2009, modificada por la Circular 1/2012, de la CMT, y los datos identificativos de la empresa verificadora (Folio 44) XFERA MÓVILES respondió que aportaba como documento adjunto 1 la “copia de la grabación de portabilidad solicitada”. El documento 1 (folio 70) es un CD con tres grabaciones. Se trata de las mismas que XFERA MÓVILES aportó con la respuesta al primer requerimiento de la Inspección, que obra al folio 15. De las tres grabaciones la segunda -reproducida en el Antecedente Segundo de la Propuesta- es supuestamente la grabación del consentimiento a la portabilidad. En la grabación no se facilita ni el nombre del operador donante, ni el domicilio del titular de la línea, ni el código identificativo de la solicitud. OCTAVO: La denunciante reconoce ser cliente de XFERA MÓVILES, con quien tiene contratada la línea móvil ***TELEFONO.5. En relación con esta línea, a tenor de las impresiones de pantalla de los sistemas de la operadora, se verifica que constan los datos personales de la denunciante -nombre, dos apellidos, NIF, domicilio (el mismo facilitado en la denuncia, ubicado en ***LOCALIDAD.2, ***DIRECCION.3, y email, ***EMAIL.2). El número de este contrato es MMC160218013799. Esta línea fue contratada el 18/02/2016 a través de un Distribuidor de la compañía y se activó el 22/02/2016. La línea había sido portada de otro operador. Se aportan (folios 35 a 37) los documentos relativos al consentimiento prestado a la portabilidad y los relativos a su gestión. NOVENO: La SESIAD remitió a la AEPD en fase de pruebas copia completa del expediente RC1001725/18, tramitado a raíz de la reclamación formulada por la denunciante contra XFERA MÓVILES. De los documentos aportados resulta: - La denunciante presenta reclamación el 11/01/2018 - Se da traslado a MÁS MÓVIL para que formule alegaciones el 24/01/2018. Se reitera la petición, ante su silencio, el 27/02/2018. - MÁS MÓVIL responde en escrito de 05/03/2018 y manifiesta que las líneas se han dado de baja con fecha 30/01/2018, las móviles, y con fecha 31/01/2018 la línea fija, “siendo condonado el importe facturado”. - En fecha 28/05/2018 la SESIAD dicta resolución en la que estima la reclamación acerca del alta no solicitada de los servicios asociados a las líneas ***TELEFONO.4, ***TELEFONO.8 y ***TELEFONO.3, reconociendo el derecho de la afectada a obtener la baja de las líneas y a no abonar las facturas que por ellas hubiera emitido MÁS MÓVIL. - Obra en el expediente captura de pantalla de terminal móvil remitida por la denunciante con un sms de 21/02/2018 en el que en nombre de MÁS MÓVIL le reclaman una deuda de 74,70 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II El artículo 6 LOPD, bajo la rúbrica “Consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal (…) se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; ..” El precepto debe integrarse con la definición que la LOPD ofrece en su artículo 3, apartados a),
  6. c)y h), respectivamente, de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El principio del consentimiento o autodeterminación recogido en el artículo 6 LOPD es la piedra angular en la construcción del derecho fundamental a la protección de datos e implica la necesidad de recabar del afectado su consentimiento inequívoco para que sus datos personales puedan ser objeto de tratamiento. A través del consentimiento al tratamiento de sus datos personales el titular ejerce de forma efectiva el poder de control y de disposición sobre ellos. En esa línea el Tribunal Constitucional, en su STC 292/2000, de 30 de noviembre (Fundamento Jurídico 7), señala que “(…)Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 La LOPD tipifica como infracción grave, en el artículo 44.3.b, la vulneración del principio del consentimiento, precepto que dispone: “Son infracciones graves: (…) “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. III Se atribuye a XFERA MÓVILES en el expediente sancionador que nos ocupa una infracción del principio del consentimiento. A. Como se indicó en el acuerdo de inicio de este procedimiento, la infracción del citado principio se materializa en el tratamiento de los datos personales del denunciante efectuado por la denunciada en relación con la línea móvil ***TELEFONO.3; línea que según la documentación facilitada por XFERA MÓVILES fue portada desde otro operador telefónico. Recordemos que la denuncia de la señora A.A.A. versó sobre el tratamiento sin consentimiento de sus datos vinculado a un “pack telefónico” formado por dos líneas móviles y una fija: números ***TELEFONO.4, ***TELEFONO.8 y ***TELEFONO.3. Ha quedado plenamente acreditado en el expediente que XFERA MÓVILES trató los datos personales de la denunciante asociados a las tres líneas (dos móviles y una fija) que ella niega haber contratado. Son exponente del tratamiento, entre otros documentos, el denominado “Contrato de Servicios Combinados MÁSMOVIL particulares”, número MMC 17-11197553116, (ver hechos probados quinto y segundo) en el que constan el nombre, dos apellidos y NIF de la denunciante como titular de las líneas. Y la captura de pantalla de los sistemas de la denunciada que obra al folio 24 (ver hecho probado tercero) en la que de nuevo aparecen vinculadas a sus datos las líneas que se dieron de alta a su nombre y sobre las que versa su denuncia, y a las facturas emitidas por la operadora denunciada en ejecución del contrato 11197553116, en las que constan el nombre, dos apellidos y NIF de la denunciante, que se emitieron en fechas 01/12/2017; 01/01/2018; 01/02/2018 y 09/03/2018 (folios 161 a 191). La denunciante negó, tanto en la denuncia que presentó ante esta Agencia como en la reclamación que formuló ante la Secretaría de Estado para la Sociedad de la Información y la Agenda Digital (SESIAD), de fecha 11/01/2018, haber contratado ninguna de las líneas que integran ese pack. La Audiencia Nacional viene considerando que cuando el titular de los datos niega la contratación corresponde la carga de la prueba a quien afirma su existencia. Reiteradamente ha manifestado que el responsable del tratamiento de datos de terceros debe recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004) que en su Fundamento de Derecho Cuarto dice “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD) Durante las actuaciones de investigación previa se solicitó a XFERA MÓVILES que aportara la documentación que acreditara que la denunciante había otorgado el consentimiento a la contratación de las referidas líneas o, al menos, que aportara la documentación que demostrara que actuó con la diligencia a la que venía obligada por la normativa de protección de datos a fin de verificar la identidad de la persona que otorga el consentimiento a la contratación. XFERA MÓVILES remitió a la Inspección de datos un CD con tres grabaciones que, a su entender, acreditaban que la denunciante había prestado su consentimiento a la contratación telefónica de los productos que la entidad vincula a sus datos personales. De las tres grabaciones que hizo llegar a esta Agencia, sólo una de ellas -la segunda- recoge una conversación entre la teleoperadora y quien dice llamarse A.A.A. y ser titular del NIF ***DNI.1 (ver hecho probado sexto). En las otras dos grabaciones (la primera y la tercera) la conversación no se mantiene con una persona que se identifique con los datos personales de quien figurará como la titular de las líneas controvertidas -datos personales de la denunciante- sino con otra persona que se identifica como “B.B.B.” que da a entender que es la hija de A.A.A.. Es en el curso la primera de las conversaciones que mantienen la teleoperadora de la compañía y B.B.B., cuando ésta le facilitará los datos de la denunciante y le informará que desea que la línea ***TELEFONO.3 se porte a MÁS MÓVIL. Resulta evidente, por tanto, que las grabaciones primera y tercera son irrelevantes a los efectos que nos ocupan, pues carecen de virtualidad para acreditar el consentimiento al tratamiento de los datos personales vinculado a las líneas controvertidas habida cuenta de que, en ellas, la persona que interviene se identifica como B.B.B. y no con el nombre y dos apellidos de la denunciante. La LOPD exige que sea el titular de los datos quien otorgue su consentimiento inequívoco al tratamiento, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
  7. h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. Sobre la necesidad de que, cuando el tratamiento de los datos se realice en el marco de una contratación, sea el titular de los datos tratados quien haya otorgado el consentimiento a la contratación, pues sólo así el tratamiento estaría amparado en el artículo 6.2 LOPD, se ha pronunciado la Audiencia Nacional, Sala de lo Contencioso Administrativo, en SAN de 17/03/2017 (Rec.1732/2015). Sentencia que además de hacerse eco de otras de este Tribunal en idéntico sentido -las SSAN de 19/12/2012 (Rec. 530/2011) y de 24/02/2015 (Rec. 341/2013)- afirma que no es suficiente el consentimiento prestado en una contratación por los parientes o personas de confianza del titular de los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 Así pues, de las tres grabaciones que XFERA MÓVILES facilitó a la AEPD como prueba del cumplimiento de la normativa de protección de datos, la única que debe de ser objeto de valoración a fin de determinar si constituye un medio de prueba bastante para acreditar que XFERA MÓVILES obró con arreglo a la normativa de protección de datos es la segunda. En ella, es la persona que se identifica con el nombre, dos apellidos y el NIF de la denunciante quien otorga el consentimiento a la contratación de un producto formado por una línea fija, una conexión a internet de 300 megas, una línea de móvil y una segunda línea de móvil que se portaría desde otro operador (en ningún caso se específica cuál es ese operador) y que corresponde al número ***TELEFONO.3. Son varias las deficiencias de que adolece esta grabación. La primera de ellas que no informa de la fecha en la que está teniendo lugar la conversación (fecha que tampoco se facilita en las grabaciones primera y tercera). Llamativo es también el hecho de que no se facilite en la conversación una dirección postal de la contratante pero que, sin embargo, esa nueva dirección sí conste en los sistemas de la entidad. Así lo acreditan los hechos probados, de los que resulta que en los ficheros de XFERA MÓVILES consta una dirección distinta de la que la denunciante, cliente de la operadora desde el año 2016, había facilitado sin que la denunciada haya explicado el origen de unos datos que no se facilitaron al tiempo de recabar el consentimiento al tratamiento pues no se hace referencia a éste en la grabación aportada. Podemos referirnos también a la copia de las facturas que obran en el expediente (folios 161 a 191) en las que la dirección postal es la ***DIRECCION.1 de ***LOCALIDAD.1 distinta de la de la denunciante, radicada en ***LOCALIDAD.2. Pese a las deficiencias que se aprecian en esa segunda grabación remitida por XFERA MÓVILES, esta Agencia, habida cuenta de que constaba en ella que una persona identificada con los datos personales de la denunciante que son objeto de tratamiento otorgaba el consentimiento al alta de una línea fija, del ADSL y de una segunda línea móvil (cuyo número no se facilita) consideró que existían indicios de que la entidad había desplegado la diligencia mínima que es exigible a fin de acreditar la identidad de la persona que otorgó el consentimiento a la contratación de esos servicios, pero, exclusivamente, en relación al tratamiento asociado a la línea fija, la segunda línea móvil y el servicio de ADSL. Ese comportamiento mínimamente diligente desplegado por XFERA MÓVILES privó a su conducta -por más que ésta pudiera ser antijurídica, como parce ser el caso, lo que acontece cuando existe una suplantación de personalidad y un tercero se hace pasar por el titular de los datos facilitando como propios datos personales que no le pertenecen- del elemento subjetivo de la culpabilidad, imprescindible para poder exigir responsabilidad administrativa sancionadora (ex artículo 28 de la Ley 40/2015). Por ese motivo, en el acuerdo de inicio del expediente se indicó que el tratamiento de los datos personales de la denunciante vinculados a la línea fija, a una segunda línea móvil y al ADSL no era subsumible en el tipo sancionador del artículo 44.3.
  8. b)LOPD. B. En atención a lo expuesto, la conducta infractora se materializó en el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25 de los datos personales de la denunciante efectuado por XFERA MÓVILES en relación con la línea móvil ***TELEFONO.3 que la operadora manifestó que había portado de otro operador. El tratamiento de los datos personales de la denunciante que XFERA MÓVILES llevó a cabo en relación con la línea ***TELEFONO.3 no sólo consistió en dar de alta a su nombre un contrato de servicio telefónico para tal línea. A diferencia de los otros tres servicios que XFERA dio de alta a nombre de la afectada, para que pudiera prestar el servicio de telefonía asociado a la línea ***TELEFONO.3 era imprescindible que la denunciada, previamente, hubiera tratado los datos personales de la denunciante con una finalidad específica distinta de la contratación del servicio. XFERA MÓVILES, necesariamente, hubo de tratar los datos personales de la denunciante con la finalidad de gestionar en su nombre una solicitud de portabilidad de la línea ante el operador al que pertenecía. Por ello, habida cuenta de que el tratamiento de los datos de la denunciante se materializó también en las gestiones llevadas a cabo, en nombre de la titular de la línea (supuestamente la denunciante), y ante el operador donante, para realizar la portabilidad, este tratamiento específico exigía a su vez contar con el consentimiento para tal fin recabado de quien se identificó como titular de los datos personales de la afectada. La Circular 1/2009 de la CMT (en la actualidad, CNMC), modificada por la Circular 1/2012, regula el consentimiento verbal a la portabilidad de una línea móvil. Llegados a este punto es preciso traer a colación la precitada Circular a tenor de la cual la portabilidad no se produce, y por tanto el servicio lo continúa prestando el operador con quien inicialmente se había contratado, si no se cumple el protocolo descrito en ella. El respeto al protocolo de actuación recogido en la mentada Circular es esencial pues sólo cumpliéndolo se entiende otorgado el consentimiento a la portabilidad y esta puede llevarse a cabo. La observancia por XFERA de ese protocolo y su consecuente acreditación es un exponente de la diligencia que con carácter mínimo debe de desplegar la entidad para dar cumplimiento al principio del consentimiento al tratamiento de los datos, conforme a la SAN de 31/05/2006, Rec 539/2004 antes mencionada. Resulta evidente que la grabación aportada por XFERA MÓVILES incumple radicalmente el protocolo previsto por la Circular 1/2009, CMT. Sin su cumplimiento no puede estimarse producida la portabilidad de la línea controvertida. Como advierte con total claridad la Circular 1/2009 el operador receptor no podrá dar de alta una línea telefónica de un número que pertenece a otro operador si la portabilidad no se ha llevado a cabo cumpliendo las previsiones de las Circulares 1/2009 y 1/2012. El protocolo de actuación para recabar verbalmente el consentimiento a la portabilidad, según la Circular 1/2009 de la CMT, consiste en la grabación de la conversación en la que el titular de la línea solicita al operador receptor portarla desde el operador donante y le otorga su consentimiento para que, en su nombre, haga las gestiones pertinentes ante la entidad donante. Son condiciones esenciales para que el consentimiento a la portabilidad otorgado verbalmente sea válido, no sólo que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 entidad beneficiaria cuente con la grabación realizada por una empresa verificadora independiente sino también que la conversación grabada se ajuste a un cuestionario descrito en la Circular (modificado por la Circular 1/2012). Tomando en consideración la segunda grabación enviada por XFERA -la única que puede ser objeto de análisis, pues como se ha expuesto anteriormente sólo en ella la persona se identifica con el nombre y apellidos de la denunciante- se ponen de manifiesto diversas circunstancias relevantes a los efectos de acreditar la infracción del artículo 6 LOPD de la que se responsabiliza a la denunciada. De una parte, no estamos ante una grabación efectuada, como exige la Circular 1/2009 CMT, por una empresa verificadora independiente sino por el departamento comercial de la entidad. Y ello, por más que XFERA MÓVILES hubiera facilitado en su respuesta a la AEPD el nombre y NIF de la verificadora que afirma intervino en la grabación. Como se puede constatar por la mera audición de las conversaciones en ellas se comunica a la persona que se identifica con los datos de la denunciante (2ª grabación). “Le damos la bienvenida al proceso de contratación telefónica de Más Móvil”. Además, en la grabación se informa a esa persona de “las características del producto que acaba de contratar” que, como se detalla en la propia grabación, consiste en una línea fija, conexión a internet y una línea móvil. Y más adelante se menciona la línea móvil ***TELEFONO.3 que se va a portar a MÁS MÓVIL. La única referencia que se hace en la grabación al término “verificación” se predica de la “voz” y se declara que tal “verificación de voz” tiene por objeto “la tarifa de 300 de fibra que acabáis de contratar”. Afirmaciones que nada tienen que ver con la pretendida verificación del consentimiento verbal a una portabilidad móvil que a juicio de la denunciada se acreditaría a través de esta grabación. En definitiva, resulta evidente que la grabación aportada por XFERA MÓVILES no es una grabación de verificación del consentimiento verbal a la portabilidad de una línea en los términos en los que lo exige la Circular 1/2009 CMT. Son muchos los elementos que confirman que la grabación facilitada por XFERA MÓVILES nada tiene que ver con la que exige la Circular 1/2009 (modificada por la Circular 1/2012 respecto al cuestionario de verificación): Ni se ajusta al cuestionario de preguntas descrito en la Circular 1/2012 que modifica la Circular 1/2009 -no se informa al abonado del código identificativo de la solicitud-; la supuesta llamada de verificación; ni la pretendida llamada de verificación se inició por el verificador (apartado d,); ni se completó el cuestionario de verificación en el orden establecido (apartado
  9. j)y se informó al cliente sobre servicios que no tienen relación con los puntos del cuestionario de verificación (apartado i). Todo lo cual es contrario a la estipulación quinta (apartados d, j, e
  10. i)de la Circular. Por tanto, XFERA MÓVILES es responsable del tratamiento de los datos personales de la denunciante vinculados a la línea móvil ***TELEFONO.3. Tratamiento que, en tanto la línea fue objeto de portabilidad (así lo ha manifestado la denunciada desde las primeras actuaciones) el consentimiento recabado de la titular de los datos que estaba obligada a acreditar (ex artículo 6 LOPD) no sólo era al consentimiento a la contratación de un servicio (el alta de la línea con XFERA) sino también el consentimiento para gestionar en su nombre el cambio de operador del citado número. El consentimiento con esa finalidad específica, conforme a la Circular 1/2009 de la CMT, debía ajustarse a un protocolo a cuya observancia se supedita la validez de dicho consentimiento verbal. En tanto la grabación aportada por XFERA MÓVILES en nada se adecúa al citado protocolo resulta obvio que ni recabó el consentimiento de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 titular para tal fin ni desplegó la diligencia que era procedente. C. El nacimiento de responsabilidad sancionadora presupone la existencia de culpabilidad en cualquiera de sus manifestaciones: dolo, culpa o culpa levísima. En el ámbito del Derecho Administrativo Sancionador no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor, esto, porque las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente como presupuesto para su imposición (STC 76/1999) Sobre el principio de culpabilidad en el marco del procedimiento sancionador (al que expresamente se refiere la Ley 40/2015 en su artículo 28) resultan muy esclarecedoras las consideraciones que ofrece la SAN de 30/05/2015 (Rec. 163/2014) con relación al modo de atribución de la responsabilidad a las personas jurídicas. En el Fundamento de Derecho segundo, después de recordar que la responsabilidad puede ser exigida a título de dolo o culpa, comprendiendo esta última la imprudencia, negligencia o ignorancia inexcusable, y desterrando en todo caso la responsabilidad objetiva, dice: <<No obstante, el modo de atribución de la responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto a las personas físicas. Según STC 246/1999 “(…) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma”>> La SAN precitada conecta la reprochabilidad a una persona jurídica, de una determinada conducta, con el hecho de que aquella hubiera o no dispensado una eficaz protección al bien jurídico protegido por la norma. Atendidas las circunstancias del caso, es evidente que esa diligencia no se ha observado en relación con la línea móvil en la que se materializa la conducta infractora y que XFERA vinculó a los datos de la denunciante: ***TELEFONO.3. D. XFERA MÓVILES, en defensa de su pretensión de archivo del expediente, alega que la AEPD ha valorado de forma errónea las pruebas practicadas y ha hecho una interpretación equivocada de la normativa aplicable, tanto de la LOPD como de la Circular 1/2009 de la CMT. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25 Considera que el hecho de que durante la tramitación de la solicitud de portabilidad se hayan omitido algunos datos sobre la misma que guardan relación con el servicio cuya numeración iba a ser portada “de los que en todo caso la Denunciante ya había sido informado previamente” no invalida un consentimiento que la denunciante prestó en tres ocasiones en el curso de la grabación. Explica que la propuesta de resolución considera que, de haberse cumplido las formalidades establecidas en la Circular 1/2009, se entendería cumplida la obligación de identificar a la persona que facilita los datos personales en la solicitud de portabilidad. Advierte que, sin embargo, los incumplimientos del protocolo para recabar el consentimiento que describe la mencionada Circular “no guardan relación alguna con la identificación de la persona que facilita los datos personales”. Alega también que se ha obviado que la Circular 1/2009, en la que se fundamenta la imputación de una infracción de la LOPD a XFERA MÓVILES, no tiene por finalidad regular la validez del consentimiento prestado por los solicitantes de las portabilidades numéricas, sino que su objeto es “habilitar la tramitación de solicitudes relativas a servicios mayoristas regulados de comunicaciones fijas (OBA y OIBA) así como las solicitudes de conservación de numeración”. En respuesta a tales alegaciones, además de reiterar lo expuesto anteriormente, basta recordar que, en contraposición a lo afirmado por la denunciada, en el presente caso no se han omitido algunos datos de los que exige el protocolo descrito en la Circular 1/2009 para la validez de la portabilidad. Sencillamente la grabación facilitada por XFERA ni siquiera está realizada por una entidad verificadora independiente (como exige la Circular) sino por los servicios comerciales de la compañía. Y el consentimiento para un tratamiento específico que XFERA supuestamente recabó de la titular de los datos no se adecuó a las formalidades a las que se condiciona su validez. Resulta de la exposición precedente que la conducta de la actuación de XFERA MÓVILES vulnera el artículo 6.1 LOPD y es subsumible en el tipo infractor del artículo 44.3.
  11. b)LOPD. IV El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  12. a)El carácter continuado de la infracción.
  13. b)El volumen de los tratamientos efectuados.
  14. c)La vinculación de la actividad del infractor con la realización de tratamientos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 de datos de carácter personal.
  15. d)El volumen de negocio o actividad del infractor.
  16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  17. f)El grado de intencionalidad.
  18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. A. En la graduación del importe de la sanción la AEPD no aprecia ninguna de las atenuantes cualificadas que contempla el artículo 45.5 LOPD. XFERA MÓVILES ha invocado la aplicación de los apartados a, b, y e, del artículo 45.5. LOPD, sin embargo, todos ellos han de ser rechazados. Respecto al apartado b), decir que ninguna reacción diligente se aprecia en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 actuación de la entidad que recibió la primera notificación de la SESIAD el 24/01/2018, siendo así que obra en el expediente copia de una factura emitida por la operadora a nombre de la denunciante por importe de 335,01 euros de fecha 01/03/2018; un mes y siete días después de haber recibido el requerimiento de la SESIAD. Obra también en el expediente la captura de pantalla de un sms de requerimiento de pago dirigido a la denunciante, de fecha 21/02/2018, casi un mes después de que la SESIAD le hubiera dado traslado de la reclamación de la afectada. XFERA MÓVILES insiste en solicitar en sus alegaciones a la propuesta la aplicación de la atenuante cualificada del artículo 45.5.e). Sobre el particular hemos de insistir en que la conducta infractora de la que es responsable, como queda acreditado, se mantuvo hasta al menos el 01/03/2018 (fecha en la que se emitió una factura por los servicios asociados a los datos de la denunciante), y en esa fecha el proceso de fusión entre MÁS MÓVIL y XFERA MÓVILES ya había concluido. De forma que si bien la infracción se inicia cuando la responsable del fichero es MÁS MÓVIL finaliza cuando la responsable del fichero es XFERA, estando la fusión totalmente concluida. Solicita también la aplicación del artículo 45.5.a, cuya desestimación reiteramos. Ni pueden admitirse como atenuantes las circunstancias del artículo 45.4 recogidas en los apartados b, e, i, de la LOPD que invoca para justificar la aplicación del artículo 45.5.a, ni es posible negar la concurrencia de las agravantes descritas en los apartados a, c y d, del artículo 45.4. LOPD. B. Por lo que atañe a las circunstancias modificativas de la responsabilidad descritas en el artículo 45.4 LOPD, la Agencia entiende que operan como agravantes en el supuesto que nos ocupa, las siguientes: -“El carácter continuado de la infracción” (apartado a,), pues XFERA MÓVILES trató los datos personales de la denunciante sin legitimación para ello durante más de dos meses: desde el 29/11/2017 al 31/01/2017, que coinciden con las fechas en las que la línea ***TELEFONO.3, respectivamente, se dio de alta y baja. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,). La actividad empresarial de XFERA MÓVILES, por su propia naturaleza, exige un continuo tratamiento de datos de carácter personal de sus clientes - “El volumen de negocio o actividad del infractor” (apartado d,). Es un hecho notorio que XFERA MÓVILES es una gran empresa perteneciente al sector de telecomunicaciones y no una pequeña o mediana empresa. La Agencia Estatal de Administración Tributaria toma como referencia para determinar cuándo estamos en presencia de una PYME o de una gran empresa que el volumen de actividad de la entidad superior a 6 millones de euros, cifra que claramente supera la denunciada. Sobre la reincidencia, (apartado g del artículo 45.4 LOPD), tanto el acuerdo de inicio como la propuesta de resolución estimaron que estaba presente esta agravante, de acuerdo con el artículo 29.3. d, de la Ley 40/2015, de Régimen Jurídico del Sector Público, que al referirse a la aplicación del principio de proporcionalidad advierte que se deberán tomar en consideración, entre otros criterios, “La reincidencia, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa”. Se mencionaron a tal fin en el acuerdo de inicio del expediente y en la propuesta las resoluciones sancionadoras dictadas por la Agencia en los expedientes PS 005/2017 y PS 638/2017 abiertos a XFERA MÓVILES. Alega sin embargo XFERA MÓVILES en su escrito de respuesta a la propuesta de resolución que la resolución sancionadora dictada en este último expediente (PS 638/2017), habida cuenta de que se firmó el 18/05/2016, no se adecúa a las condiciones descritas por el artículo 29.3 de la Ley 40/2015. Constatado que es así, en la resolución que nos ocupa hemos de estimar que no existen motivos que justifiquen la aplicación de la agravante descrita en el artículo 45.5.
  27. g)LOPD, por lo que no procede su aplicación. Tomando en consideración que se aprecian como agravantes de la conducta objeto de valoración las circunstancias descritas en los aparatados a, c, y d, del artículo 45.4 LOPD, se acuerda imponer a XFERA MÓVILES una sanción de 50.000 euros -cuantía próxima al mínimo previsto para las infracciones graves en el artículo 45.2, LOPD- por vulneración del artículo 6.1 de la citada Ley Orgánica, subsumible en el artículo 44.3.b, LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad XFERA MÓVILES, S.A., con NIF A82528548, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  28. b)de la LOPD, una multa de 50.000 € (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a XFERA MÓVILES, S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  29. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  30. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.