PS-00235-2019

1/8 Procedimiento Nº: PS/00235/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00235/2019, instruido por la Agencia Española de Protección de Datos, a la entidad VODAFONE ESPAÑA SAU. (VODAFONE), con C.I.F. A80907397, (en adelante, “entidad reclamada”), vista la denuncia presentada por D. A.A.A., (en adelante, “el reclamante”), y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 09/03/19, tuvo entrada en esta Agencia escrito, presentado por D. B.B.B., en calidad de representante y padre del reclamante en el que exponía, entre otras, lo siguiente: “En septiembre de 2018, mi hijo, menor de edad, recibe una carta de Vodafone España SAU, en la que le comunica que ha contraído con ellos una deuda de 93,77 euros y que en el caso de impago se procederá a su inclusión en una lista de morosos. Me puse en contacto con ellos para comentarles el caso, pero lejos de hacerme caso siguieron llegando cartas comunicando que o bien se pagaba o sería incluido en un fichero ASNEF. Presenté una reclamación ante la "Oficina de Atención al Usuario de Telecomunicaciones", la cual me dio la razón (N/REF.: RC1020566/18)”. A esta reclamación, se aportó, la documentación que se ya se detallaba en el escrito de incoación de expediente y en el escrito de propuesta de resolución. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Así, con fecha 02/04/19, se dirige un requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 03/07/19, la entidad reclamada, remite a esta Agencia información expuesta ya en el escrito de incoación de expediente y en el escrito de propuesta de resolución. CUARTO: Con fecha 19/07/19, se dirige un requerimiento informativo a las entidades ASNEF-EQUIFAX y a EXPERIAN para que informasen a esta Agencia de los datos que figuran en los ficheros ASNEF y BADEXCUG, respecto del reclamante. Con fecha 24/07/19 y 28/08/19 se recibe en esta Agencia informes de las empresas indicadas anteriormente en los que indican lo siguiente, respecto del reclamante: Fichero F. alta F. baja ASNEF BADEXCUG 18/10/18 21/10/18 16/11/18 18/11/18 C/ Jorge Juan, 6 28001 – Madrid Días inscrito 30 días 29 días Entidad Informante VODAFONE VODAFONE Saldo deudor 93,77 euros 93,77 euros www.aepd.es sedeagpd.gob.es 2/8 QUINTO: Con fecha 09/09/19, se dirige un requerimiento al representante de reclamante solicitando envíe a esta Agencia, copia del DNI o documentación que acredite la edad del reclamante, en el momento de producirse los hechos. Con fecha 11/09/19, el reclamante envía a esta Agencia copia del DNI del donde se aprecia que la fecha de nacimiento es el 23/12/2003, por lo que, en la fecha de producirse los hechos, (fecha de alta de la línea telefónica y fecha de inclusión de sus datos personales en los ficheros ASNEF y BADEXCUG: 17/01/18 18/10/18 y 21/10/18 respectivamente), el reclamante tenía 14 años, cumplidos el 23/12/17. QUINTO: Con fecha 04/11/19, se inició el período de práctica de pruebas, acordándose: a).-dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados que forman parte del expediente E/3639/2019 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del PS/00235/2019, presentadas por la entidad. SEXTO: Con fecha 16/01/20, se notifica a la entidad reclamada la propuesta de resolución en la que se propone que, por la Directora de la AEPD, se sancione a la entidad VODAFONE ESPAÑA SAU, por infracción de los arts. 6.1.

1. a)y 5.1.
2. a)del RGPD, considerada como “muy grave”, a efectos de prescripción de la misma, en el artículo 71.1.a y
3. b)respectivamente, de la LOPDGDD. con una multa de 120.000 (ciento veinte mil euros), de conformidad con lo establecido en el artículo 58.2) del citado RGPD. SÉPTIMO: Notificada la propuesta de resolución, la entidad reclamada presenta alegaciones a la propuesta el 30/01/20, en el periodo concedido al efecto, fundamentando en esencia, lo siguiente: “Que los hechos son los que se detallan a continuación: El Sr. A.A.A. afirma en su denuncia que, en el mes de septiembre de 2018, su hijo recibió una carta de Vodafone informándole que éste había contraído una deuda de 93,77 euros y que, en caso de impago, se le incluiría en el fichero de morosos. Ante la falta de pago, finalmente en el mes de octubre fueron incluidos sus datos en el fichero de morosidad. En el escrito de Propuesta de Resolución, la Agencia mantiene que “la entidad reclamada ha realizado un tratamiento de los datos personales del reclamante sin su consentimiento, después de haber intentado dar de baja los servicios prestados y que además dicho tratamiento fue realizado de manera ilícita y no leal en relación con la inclusión de los mismos en los ficheros de solvencia.” Motivo por el cual se le imputa a mi representada la infracción de los artículos 5.1 y 6.1 del RGPD. El alta en los servicios se produjo el 27 de enero de 2018, debido a un error cometido por él mismo, en tanto efectuó el alta de la línea al incluir los datos personales de su hijo, menor de edad, en vez de los suyos propios. Fue el propio Sr. A.A.A. quien solicitó el alta de la línea móvil, a través de la tienda online de Vodafone, facilitando de motu propio los datos personales de su hijo a mi representada. Téngase en cuenta que el Sr. A.A.A. no era cliente previo de Vodafone, por tanto, mi representada no tenía ningún dato personal del reclamante en sus sistemas. Esto significa que, en ningún caso, Vodafone pudo asignar o asociar otros datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 personales que los que el Sr. A.A.A. completase en el momento de gestionar el alta de los servicios a través de la Tienda Online. Del mismo modo, si no hubiera sido por la contratación efectuada de parte del reclamante, mi representada no habría podido obtener los datos del menor. Como quedó acreditado mediante el escrito de Alegaciones del Acuerdo de Inicio, remitido por esta parte a la Agencia en fecha 16 de octubre de 2019, al darse cuenta de su error, el Sr. A.A.A. se puso en contacto con Vodafone, en fecha 12 de febrero de 2018 (apenas sólo dos semanas después del alta), e informó a mi representada sobre su error en el alta de la línea al facilitar los datos de su hijo. Ante lo cual, mi representada le ofreció la posibilidad de cambiar el tipo de contrato de la línea, de postpago a prepago, consintiendo expresamente dicho cambio el reclamante. Tal es así, que dicha aceptación quedó recogida en los sistemas internos de mi representada, procesándose ese mismo día la apertura de un cambio de línea de postpago a prepago, y tramitándose la entrega de una tarjeta SIM en el domicilio En virtud de lo cual, queda así acreditado, nuevamente, el consentimiento otorgado por parte del Sr. A.A.A., esto es, dicha contratación fue admitida y querida por éste. Es, asimismo, de todo modo comprensible, que, si el reclamante no hubiera querido realizar el cambio de la línea de postpago a prepago, hubiera devuelto la tarjeta SIM recibida, o hubiera manifestado su negativa a mi representada de algún u otro modo. Siendo hasta este punto a todas luces una contratación consentida por parte del Sr. A.A.A., y sin haber recibido mi representada ningún tipo de comunicación de su parte durante un año entero, es recibido por Vodafone una resolución dictada por la SETSI, como consecuencia de una reclamación interpuesta por el Sr. A.A.A.. Dicha notificación es recibida el 08/02/19, como hemos mencionado, un año después, siendo requerido en la misma a mi representada que proceda a la baja de la línea móvil, y se practique un abono por las cantidades facturadas al reclamante, como así se hizo por parte de Vodafone con carácter inmediato al gestionar la baja, realizar el abono y confirmar que el menor no estaba incluido en ficheros de solvencia el 15/02/19. Es de todo punto observable que Vodafone actuó en todo momento de acuerdo a lo solicitado por el reclamante, y que a todas luces dicha contratación contaba con el consentimiento del Sr. A.A.A., ya no una, sino en tres momentos:
4. i)cuando reconoce haber realizado un alta online por error;
5. ii)cuando acepta cambiar el contrato de la línea de postpago a prepago y iii) cuando recibe y consta entregada la SIM en su domicilio, sin indicar la negativa ante dicha recepción. Expresamente, quiere esta parte remarcar que las actuaciones que ha realizado en todo momento son consideradas diligentes, sin haber procedido a un tratamiento de los datos que pueda ser considerado erróneo o de mala fe, sino que ha sido adecuado a lo que a lo que el reclamante requirió a mi representada a cada momento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 En definitiva, de la descripción de los hechos realizada y de los documentos aportados a lo largo de todo el procedimiento se puede observar y esta parte reitera que por parte de Vodafone no ha habido dolo ni intencionalidad. Lo procedente es que la Agencia acuerde el sobreseimiento del presente expediente y el archivo de las actuaciones ya que los hechos se han producido sin intencionalidad alguna por parte de mi representada siendo el origen de todo ello es el alta gestionada por error en la Tienda Online por parte del Sr. A.A.A. a nombre de su hijo. Subsidiariamente y para el caso de que a pesar de las explicaciones anteriormente facilitadas, la Agencia entendiera que mi representada es merecedora de una sanción por la comisión de infracción de los artículos 5.1 y 6.1 del RGDP, la cuantía de dicha sanción deberá moderarse, imponiéndose en su cuantía mínima, teniendo en cuenta las siguientes circunstancias recogidas en el art. 83.2 del RGPD: El tratamiento se ha realizado a nivel local y que No existe intencionalidad por parte de Vodafone en los hechos reclamados que, por contrario, ocasionan a mi representada claros perjuicios. En virtud de lo expuesto, SOLICITO proceda a acordar: (
6. i)sobreseimiento del expediente y archivo de actuaciones, (
7. ii)subsidiariamente, una reducción de la sanción estipulada inicialmente, teniendo en cuenta los atenuantes aludidos. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: HECHOS PROBADOS a).- Respecto de la minoría de edad del reclamante: La fecha de nacimiento del reclamante es el 23/12/03, por lo que, en la fecha de producirse los hechos, (fecha de alta de la línea telefónica y fecha de inclusión de sus datos personales en los ficheros ASNEF y BADEXCUG: 17/01/18; 18/10/18 y 21/10/18 respectivamente), el reclamante tenía 14 años, cumplidos el 23/12/17, por lo que no necesitaba el otorgamiento de los padres o tutores para el tratamiento de los datos personales del menor. b).- Respecto del tratamiento no autorizado de los datos personales del reclamante, para contratar una línea móvil, de la documentación presentada y de las notas internas de la compañía, se constata lo siguiente: 1º. Con fecha 27/01/18 se produce un alta en los servicios de Vodafone, a través de la tienda online, a nombre del reclamante. Este alta es realizado por el padre. 2º. Con fecha 12/02/18, el padre llama a la compañía indicando el error en el alta y su intención de dar de baja los servicios. Ante lo cual, Vodafone le ofrece la posibilidad de cambiar el tipo de contrato de la línea, de postpago a prepago, consintiendo el reclamante. 3º. Con fecha 17/10/18, el reclamante recibe una carta de ISGF Informes Comerciales SL, en la que le reclaman una deuda con Vodafone, informándole, entre otras, que: “en caso de no abonar la deuda en el plazo de 10 días, VODAFONE podría incorporar sus datos en un fichero de solvencia patrimonial y crédito”. Dicho plazo, finalizaría, por tanto, el 27/10/18. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 4º. Con fecha 17/10/18, el padre del reclamante presenta escrito ante la Secretaría de Estado para el Avance Digital (SEPAD), en la que denuncia que: “VODAFONE ha procedido a dar de alta unos servicios a nombre de su hijo sin su consentimiento y los ha cedido a una empresa de gestión de cobro que le requiere el pago de 93,77 euros”. 5º. Con fecha 19/10/18, el reclamante recibe una notificación de ASNEF, donde le informan que: “Le comunicamos que con fecha 18/10/18 la entidad VODAFONE ha solicitado el alta en el fichero ASNEF de los datos personales relativos al impago del contrato que mantiene con dicha entidad por importe de 93,77 euros”. 6º. Con fecha 23/10/18, el reclamante recibe una notificación de EXPERIAN, donde le informan que: “Se ha incorporado a este fichero una operación en la que se ha producido un incumplimiento de pago y en la que usted interviene, Entidad: VODAFONE Importe: 93,77€”. 7º. Con fecha 08/02/19 la SEPAD emite resolución en la que, entre otras, indica que Vodafone no ha acreditado en ningún momento, que el reclamante hubiera prestado su consentimiento para el tratamiento de sus datos personales durante los 13 meses que estuvo activa la línea móvil. También se indica en la resolución que : “Se estimar la reclamación en cuanto a la activación de los servicios por parte de VODAFONE ESPAÑA, S.A.U., a nombre del reclamante, en cuanto al alta no solicitada, reconociendo el derecho del reclamante a obtener la baja inmediata en el servicio no solicitado, así como a no abonar las facturas que pueda haber emitido VODAFONE ESPAÑA, S.A.U., debiendo este proceder a su devolución en el supuesto de que el abonado las haya pagado ya”. 8º. Con fecha El 08/02/19, el padre del reclamante realiza una llamada a Vodafone para comunicar los hechos y dar de baja la línea. Pero la compañía alegando que existía también una solicitud de “alta de fibra”, asociada al número de teléfono, mantuvo activa la línea y siguió facturándola hasta el 15/02/19, (7 días), cuando procede a dar de baja la línea y a regularizar la facturación. c).- Respecto de la inclusión de los datos personales del reclamante en los ficheros de solvencia patrimonial, ASNEF y BADEXCUG, se constata que: - El reclamante recibió una carta, fechada el 17/10/18, de la empresa ISGF Informes Comerciales SL, en la que le reclamaban una deuda en favor de Vodafone, otorgándole un plazo de 10 días para que regularizase su situación. En caso contrario, le indicaban que sus datos personales serían incorporados a los ficheros de solvencia patrimonial y crédito. - Pese a otorgarle un plazo de 10 días para regularizar su presunta situación deudora con Vodafone, a partir del 17/10/18, Vodafone incluyó sus datos personales en ASNEF al día siguiente, el 18/10/18, y en BADEXCUG, el 21/10/18, 4 días después, sin cumplir el plazo otorgado al reclamante para el pago de la presunta deuda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 - Los datos personales del reclamante estuvieron incluidos en el fichero ASNEF durante 30 días (desde el 18/10/18 hasta el 16/11/18) y en el fichero BADEXCUG, durante 29 días (desde el 21/10/18 hasta el 18/11/18). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, en este caso, y en contestación a las alegaciones presentadas por la entidad reclamada, hay que volver a incidir en los siguientes puntos: La entidad admite que, a través de la tienda online, se dio de alta una línea móvil a nombre del reclamante y que permaneció dada de alta desde el 17/01/18 al 15/02/19. No obstante, incluso la SEPAD, en su resolución de fecha 08/02/19, indicaba que, ningún momento, Vodafone había podido acreditar que el reclamante o su representante (en padre, en este caso), hubiera prestado su consentimiento para el tratamiento de los datos personales durante los 13 meses que estuvo activa la línea móvil. No obstante, todo indica que si existe un alta en los servicios de Vodafone el 27/01/18, a nombre del reclamante, realizado por el padre. Pero el 12/02/18 (15 días después), el padre llama a la compañía indicando el error en el alta y su intención de dar de baja los servicios. Ante lo cual, Vodafone le ofrece la posibilidad de cambiar el tipo de contrato de la línea, de postpago a prepago, y según la entidad, el padre consiente. El 17/10/18, el reclamante recibe una carta de ISGF Informes Comerciales SL, en la que le reclaman una deuda con Vodafone, informándole, entre otras, que: “en caso de no abonar la deuda en el plazo de 10 días, VODAFONE podría incorporar sus datos en un fichero de solvencia patrimonial y crédito”, ante lo cual, el padre presenta una denuncia ante la Secretaría de Estado para el Avance Digital que resuelve, el 08/02/19 estimando la reclamación. Eses mismo día, el padre del reclamante se pone en contacto con la entidad para comunicar los hechos y dar de baja la línea pero no es hasta pasados 7 días (el 15/02/19), cuando Vodafone procede a ejecutar la solicitud del padre. Aparte del tratamiento no autorizado de los datos personales del reclamante indicados en los puntos anteriores, también existe una inclusión indebida de sus datos en los ficheros de solvencia patrimonial ASNEF y DADEXCUG, pues el reclamante recibió el requerimiento previo de pago con fecha 17/10/18, concediéndole un plazo de 10 días para subsanar el presunto impago, pero solamente un día después, Vodafone incluye los datos personales del reclamante en el fichero ASNEF y 4 días después en el fichero DADEXCUG, sin esperar a los 10 días concedidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Por lo que se refiere a la solicitud de la compañía para aplicar como atenuantes los puntos recogidos en el art. 83.2 del RGPD:
8. a)El tratamiento se ha realizado localmente.
9. b)No existe ninguna intencionalidad por parte de Vodafone en los hechos reclamados que, por contrario, ocasionan a mi representada claros perjuicios indicar que, el tratamiento realizado localmente se refiere al tratamiento circunscrito a un determinado estado de la UE, en este caso España, por lo que no se aprecia considerarlo como atenuante, y en lo que respecta a lo no intencionalidad por parte de Vodafone indicar que ha quedado acreditado una actuación negligente de la compañía. De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VODAFONE ESPAÑA SAU. (VODAFONE), con C.I.F. A80907397, una sanción de 120.000 euros (ciento veinte mil euros), por infracción de los artículos 6.1.
10. a)y 5.1.
11. a)del RGPD, considerada como “muy grave”, a efectos de prescripción de la misma, en el artículo 71.1.a y
12. b)respectivamente, de la LOPDGDD. SEGUNDO: NOTIFICAR la presente resolución a la entidad VODAFONE ESPAÑA SAU. y, e INFORMAR al reclamante sobre el resultado de la reclamación. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
13. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 ficación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
14. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es