1/7 Procedimiento Nº: PS/00207/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 18 de febrero de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra VODAFONE ESPAÑA, S.A.U. con NIF A80907397 (en adelante, el reclamado), entidad de la que no es cliente ni lo ha sido; y en este sentido el reclamado incluyo los datos personales de la reclamante en el fichero de solvencia Asnef y Badexcug por una deuda derivada de una contratación de servicios que ella no ha realizado. La reclamante aporta copia de la denuncia interpuesta ante la Comisaria Provincial de Soria de fecha ***FECHA.1. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. Asimismo, se constatan los siguientes extremos: Esta Agencia dio traslado de la reclamación al reclamado por medios electrónicos y consta como fecha de aceptación por el anterior el 15 de marzo de 2019, pero no contestó al requerimiento de este organismo. Por este motivo se procedió a la admisión a trámite de esta reclamación por contratación fraudulenta, sin que la entidad diera respuesta a la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 TERCERO: Con fecha 2 de julio de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos en el artículo 58.2 del RGPD y en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), por la infracción del artículo 6.1 del RGPD tipificada en el artículo 83.5.
- a)del RGPD. CUARTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 16 de julio de este año, formuló, en síntesis, las siguientes alegaciones: “Vodafone, en primer lugar, quiere manifestar que tras la recepción del requerimiento de información E/2742/2019, Vodafone analizó la reclamación de la reclamante y procedió a su resolución de forma inmediata, procediendo a dar de baja los servicios dados de alta a su nombre y eliminando la deuda de sus sistemas, a pesar de no haber dado contestación al citado requerimiento de información dentro del plazo conferido para ello. La contratación realizada a nombre de la reclamante tenía una apariencia de contratación correcta. En este sentido, mi representada dispone de dos grabaciones, ambas realizadas con fecha ***FECHA.2. En ambas grabaciones se recoge claramente el consentimiento dado a nombre de la reclamante. Se adjunta un CD con la copia de las grabaciones. Ante el impago de los servicios, efectivamente, mi representada incluyó los datos de la reclamante en ficheros de solvencia en las siguientes fechas: Fichero Experian alta y baja el 11 de marzo de 2018 y 20 de agosto de 2018. Fichero Asnef, fecha de alta 8 de marzo de 2018 y baja el 20 de agosto de 2018. En este sentido, es relevante resaltar la derogación del artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. Su sustitución por el artículo 28.1 de la Ley 40/2015 de 1 de octubre, de Régimen Jurídico del Sector Público elimina la mención a la “simple inobservancia” haciendo prevalecer la regla “nullum poena sine culpa”. Lo anterior, no viene sino a poner de manifiesto la falta de cabida de la responsabilidad sin culpa, principio que rige o ha de regir en el ámbito administrativo sancionador, pues en la medida que es manifestación de “ius puniendi” del Estado, resulta inadmisible en nuestro ordenamiento jurídico un régimen de responsabilidad sin culpa. En este sentido, indica Sentencia del Tribunal Constitucional número 219/1988, y ello por resultar inadmisible un régimen de responsabilidad objetiva o sin culpa como igualmente viene a señalar la Sentencia 246/1991. No podrá ser sancionada mi representada por infracción del artículo 6.1. de la LOPD, sin que se haga referencia al elemento subjetivo del tipo, no demostrándose ni dolo, ni culpa, ni negligencia. Adicionalmente, teniendo en cuenta la especial naturaleza del Derecho sancionador que determina la imposibilidad de imponer sanciones sin tener en cuenta la voluntad del sujeto actor o los factores que hayan podido determinar el incumplimiento de una obligación legal, esta parte mantiene la improcedencia de la imposición de sanción alguna. Así, indica el Tribunal Supremo en Sentencia de 21 de diciembre de 1998 (RJ1998/10226) (Recurso de Apelación 9074/1991), 27 enero 1996 (RJ 1996\926) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 (Recurso de Apelación 640/1992) y 20 enero 1997 (RJ 1997\257) (Recurso de Apelación 2689/1992)". También señala el Tribunal Supremo en Sentencia de 20 de julio de 1990, Ar. 6163, Pues bien, como puede apreciarse, en la conducta descrita no concurre intencionalidad alguna, ni a título de dolo, ni a título de culpa. Por consiguiente, no existiendo culpabilidad alguna, resulta de todo punto improcedente imponer sanción alguna a mi representada, en cuanto falta uno de los requisitos esenciales del Derecho Administrativo sancionador. Por todo ello, ni representada entiende que lo procedente es que la AEPD acuerde el sobreseimiento del presente expediente y el archivo de las actuaciones ya que los hechos se han producido sin intencionalidad alguna por parte de mi representada y parece que debido a algún tipo de error. Subsidiariamente y para el caso de que a pesar de las explicaciones anteriormente facilitadas, la Agencia entendiera que mi representada es merecedora de una sanción por la comisión de una infracción del art. 6.1. del RGPD, la cuantía de dicha sanción deberá moderarse, imponiéndose en su cuantía mínima, teniendo en cuenta las siguientes circunstancias recogidas en el art. 83.2 del RGPD: Se solicita, por tanto, acordar: El sobreseimiento del expediente, con el consiguiente archivo de las actuaciones. Subsidiariamente respecto de lo pretendido en el número 1, imponer a mi representada una sanción habiendo tenido en cuenta la AEPD para la determinación de su importe, los atenuantes aludidos”. QUINTO: Con fecha 22 de julio de 2019, se inició el período de práctica de pruebas, acordándose: 1. Dar por reproducidos a efectos probatorios la denuncia interpuesta por la reclamante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/02742/2019 y 2. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00207/2019, presentadas por la entidad denunciada. SEXTO: El 6 de septiembre de 2019, se notificó al reclamado la propuesta de resolución formulada en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a, VODAFONE ESPAÑA, S.A.U. con NIF A80907397, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 60.000,00 € (sesenta mil euros)>>. SÉPTIMO: En fecha 23 de septiembre de 2019 tuvo entrada en esta Agencia, un escrito de la representación de la reclamada, en el que realizaban las oportunas alegaciones a la propuesta de resolución. En este escrito de alegaciones se solicita el sobreseimiento del presente expediente y el archivo de las actuaciones o subsidiariamente que se imponga una sanción por una infracción del art. 6.1 del RGPD, señalando que la cuantía deberá moderarse, imponiéndose en su cuantía mínima, manifestando “que ha acreditado que las dos grabaciones en las que se otorgaba consentimiento, en nombre de la reclamante, tanto para la contratación de los servicios como para la portabilidad. Estas grabaciones fueron realizadas con fecha ***FECHA.2, donde se realiza, en la primera de ellas, la recapitulación de la contratación realizada (líneas telefónicas, fibra Ono y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Televisión), y en la segunda, la solicitud de portabilidad de dos líneas (***TELÉFONO.1 y ***TELÉFONO.2) desde Jazztel a Vodafone España. En ambas grabaciones se recoge claramente el consentimiento dado a nombre de la reclamante. Dichas grabaciones se aportan. Posteriormente, como consecuencia de la contratación de los servicios, en su creencia de que los servicios habían sido efectivamente contratados por la reclamante, procedió a emir las facturas correspondientes por los servicios prestados, las cuales tenían consumo y ante el impago de dichas facturas, procedió a incluir los datos de la reclamante en ficheros de solvencia. No es hasta que se recibe el requerimiento de información de la Agencia cuando mi representada recibe la reclamación en relación con la contratación y actúa con toda la diligencia y rapidez posible, cancelando la deuda y dando de baja el servicio”. HECHOS PROBADOS 1º El 18 de febrero de 2019, la reclamante manifiesta que no es cliente ni lo ha sido del reclamado, y que ha sido dado de alta en el fichero de solvencia patrimonial y de crédito Asnef, por contratación fraudulenta. 2º La reclamante aporta copia de la denuncia interpuesta ante la Comisaria Provincial de Soria de fecha ***FECHA.1. 3º Esta Agencia dio traslado de la presente reclamación al reclamado por medios electrónicos y consta fecha de aceptación por este el 15/03/2019 pero no ha contestado el requerimiento de este organismo. 4º El 16 de julio de 2019, el reclamado manifiesta que tras recibir el requerimiento de información E/2742/2019, procedió a dar de baja los servicios dados de alta a nombre de la reclamante, eliminando la deuda de sus sistemas y de los ficheros de solvencia, a pesar de no haber dado contestación al citado requerimiento dentro del plazo conferido para ello. 5º La venta se formalizó a través del teléfono. En las dos grabaciones en las que se otorgó el consentimiento, tanto para la contratación de los servicios como para la de portabilidad, se verifica que el gestor indica la fecha y pregunta por el nombre y apellidos del contratante, así como su DNI/NIF, su domicilio, a lo que el interlocutor responde con los datos de la reclamante, y en la segunda, la solicitud de portabilidad de dos líneas (***TELÉFONO.1 y ***TELÉFONO.2) desde Jazztel a Vodafone España. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” III En el supuesto que nos ocupa, el tratamiento de datos realizado por el reclamado fue llevado a cabo empleando una diligencia razonable. En este sentido, ha de tenerse en cuenta que en los sistemas del reclamado constan los datos relativos a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 la reclamante, tanto para la contratación como para la portabilidad y se encuentran asociados al DNI de la reclamante. La venta se formalizó a través del teléfono. Fruto de dicha alta se emitieron unas facturas que fueron canceladas de inmediato en el mismo momento en que el reclamado tuvo conocimiento de la situación. Asimismo, el reclamado aporta copia de las dos grabaciones telefónicas a través de las cuales se otorgaba el consentimiento, en nombre de la reclamante, tanto para la contratación de los servicios, como para la portabilidad. Estas grabaciones fueron realizadas con fecha ***FECHA.2, donde se realiza, en la primera de ellas, la recapitulación de la contratación realizada (líneas telefónicas, fibra Ono y Televisión) y en la segunda, la solicitud de portabilidad de dos líneas desde Jazztel a Vodafone, en las que se facilita la siguiente información: el nombre y apellidos del contratante, así como su DNI/NIF, a lo que el interlocutor responde con los datos de la reclamante e informa de diversos aspectos de la contratación. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de veintinueve de abril de 2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación” o como se recoge en la sentencia de la Audiencia Nacional de diez de marzo de 2015 al señalar que: “por tanto, ningún reproche cabe hacer a la actuación de Telefónica Móviles España S.A. en este ámbito sancionador, pues como ya se ha expuesto actuó con la diligencia exigible, tratando los datos del denunciante a partir de la apariencia de legitimidad de la contratación de la línea en cuestión que le otorgaba la grabación telefónica (…) En definitiva, no cabe apreciar culpabilidad en la actuación de la entidad recurrente, por lo que no puede imputársele o ser sancionada ex artículo 130 LRJPAC por vulneración del principio de consentimiento ni tampoco, y en correlación, del principio de calidad de datos pues el requerimiento previo de pago se realizó en el domicilio que según la citada grabación telefónica correspondía al titular de la línea” De acuerdo a estos criterios, se puede entender que el reclamado empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00207/2019, instruido a VODAFONE ESPAÑA, S.A.U. con NIF A80907397, por haber acreditado que empleó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U.. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es