1/8 Procedimiento Nº PS/00249/2013 RESOLUCIÓN: R/02311/2013 En el procedimiento sancionador PS/00249/2013, instruido por la Agencia Española de Protección de Datos a la entidad XFERA MOVILES S.A.., vista la denuncia presentada por B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 29/06/2012 el Director de la Agencia Española de Protección de Datos resuelve el Recurso de Reposición de referencia RR/292/2012 interpuesto por B.B.B. (en lo sucesivo el denunciante), estimando sus pretensiones y ordenando a la Subdirección General de Inspección de Datos a realizar actuaciones de investigación con objeto de determinar las posibles vulneraciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, por parte de XFERA MOVILES SA ( en adelante XFERA ). El afectado manifestaba en su reclamación haber sufrido una suplantación de identidad al haberse dado de alta tres líneas en XFERA a su nombre sin su consentimiento. Las líneas son las de numeración J.J.J., I.I.I. G.G.G.. Aporta copia de recibos adeudados en su cuenta correspondientes a las dos primeras líneas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad XFERA: - Con fecha 06707/2012 se solicita a XFERA información relativa al afectado y de la respuesta recibida se desprende lo siguiente: SOBRE LA CONTRATACION: Respecto de los productos que constan de alta a su nombre: Consta el alta de la línea número J.J.J. a nombre del denunciante con fecha de alta 23/07/2010. Consta como fecha de baja 30/12/2010 por impago. La venta se formalizó a través de la web del distribuidor The Phone House. No aportan copia del contrato suscrito en su caso. Aportan copia del contrato suscrito con el distribuidor. Consta el alta de la línea número I.I.I. a nombre del denunciante con fecha de alta 06/05/2010. Consta como fecha de baja 13/12/2010 por impago. La venta se formalizó a través de la web de XFERA. No aportan copia del contrato firmado. Aportan copia del contrato de alta que se genera en sus sistemas automáticamente cuando un cliente contrata a través de la web (es un contrato que se encuentra sin firmar por parte del cliente y que recoge los datos facilitados por él en el momento de la contratación). Consta el alta de la línea número G.G.G. a nombre del denunciante con fecha de alta 21/07/2010. Consta como fecha de baja 03/01/2011 por impago. La venta se formalizó a través de la web de XFERA. No aportan copia del contrato firmado. Como en el caso anterior, aportan copia del contrato de alta que se genera en sus sistemas automáticamente cuando un cliente contrata a través de la web (se encuentra sin firmar por parte del cliente). Aportan copia del albarán de entrega del terminal asociado a la línea I.I.I., indicando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 que solo se entrega previa exhibición del DNI o documento de identificación equivalente. El terminal asociado al número G.G.G. no fue entregado, por lo que no aportan albarán. Con respecto a la línea contratada mediante distribuidor indican que se encuentran a la espera de recibir del mismo la documentación acreditativa del contrato en cumplimiento de las obligaciones que tienen asumidas a tenor del contrato de distribución. Aportan copia de las facturas impagadas que fueron generadas. SOBRE LAS COMUNICACIONES CON EL AFECTADO Y ACCIONES EMPRENDIDAS POR LA ENTIDAD Consta la apertura de un expediente de reclamación el 25/01/2011 por reclamación telefónica del afectado que manifiesta que se han dado de alta tres líneas a su nombre. Según manifiestan los representantes de la entidad, quedó resuelto el mismo día condonando la deuda tras constatar la suplantación de identidad. Aportan impresión de pantalla donde figuran las gestiones realizadas y la fecha de la solución adoptada. Figura una reclamación posterior (15/07/2011) por escrito, manifestando XFERA que fue contestada mediante cartas certificadas, pero que, no obstante, la reclamación ya había sido resuelta el 25/01/2011. TERCERO: Con fecha 13/05/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a XFERA, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio el 13/05/2013, la representación de XFERA, solicito mediante fax de 31/05/2013 ampliación del plazo para alegaciones, siendo concedido nuevo plazo por el instructor. Asimismo, le fue enviado por correo certificado copia de los documentos integrantes del expediente; en fecha 14/06/2013, la citada representación, formuló como alegaciones al acuerdo de inicio. QUINTO: Con fecha 13/01/2012 se inició un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/03855/2012. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00249 presentadas por XFERA. - Solicitar al denunciante copia de la documentación que obrara en su poder relativa al procedimiento sancionador que por cualquier motivo no hubiera sido aportada. - Solicitar a BBVA el titular de la cuenta C.C.C.. Solicitar a EQUIFAX y EXPERIAN datos que figuren en sus ficheros respecto al denunciante sobare deudas informadas por XFERA. En fechas 1, 4 y 15/07/2013, el denunciante, BBVA, EQUIFAX y EXPERIAN dieron respuesta a la información solicitada cuyo contenido obra en el expediente. SEXTO: El Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora, en su artículo 6.1, señala que: “Cuando de las actuaciones previas se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 concluya que ha prescrito la infracción, el órgano competente acordará la no procedencia de iniciar el procedimiento sancionador. Igualmente, si iniciado el procedimiento se concluyera, en cualquier momento, que hubiera prescrito la infracción, el órgano competente resolverá la conclusión del procedimiento, con archivo de las actuaciones. En ambos casos, se notificará a los interesados el acuerdo o la resolución adoptados. HECHOS PROBADOS PRIMERO. En fecha 06/07/2011, tiene entrada en esta Agencia escrito de la Dirección de Consumo, Consejería de Economía y Hacienda de la CCAA de Madrid, dando traslado a un escrito del denunciante en el que manifiesta haber sido objeto de una suplantación de personalidad, al haber sido dadas de alta tres líneas de telefonía móvil a su nombre (dos de móvil y una de internet), en la compañía XFERA, sin su consentimiento (folios 1 y 2). SEGUNDO. El denunciante ha aportado copia de su DNI nº K.K.K.A, con domicilio en C/ H.H.H., (Madrid), que coincide con el consignado en su escrito de denuncia (folio 9). TERCERO. El denunciante ha aportado dos adeudos por domiciliación, de fechas 16/08/2010 y 14/01/2011 contra la cuenta titularidad del denunciante, emitidos por XFERA; el primero, en concepto de factura L.L.L., de fecha 01/08/2010, periodo 01/07/2010 al 31/07/2010, de los teléfonos J.J.J. G.G.G., por un importe de 97,58 euros y, el segundo, en concepto de factura E.E.E., de fecha 01/01/2011, periodo 01/12/2010 al 31/12/2010, del teléfono J.J.J., por un importe de 482,58 euros (folios 10 y 11). CUARTO. En los ficheros informatizados de XFERA constan los siguientes productos vinculados al denunciante, todos ellos en la actualidad dados de baja: - línea asociada al nº J.J.J., con fecha de alta 23/07/2010 y baja el 30/12/2010, modalidad inicial postpago. - línea asociada al nº I.I.I., con fecha de alta 06/05/2010 y baja el 13/12/2010, modalidad inicial postpago. el - línea asociada al nº G.G.G., con fecha de alta 21/07/2010 y baja 03/01/2011, modalidad inicial postpago. Como dirección del denunciante figura la C/ A.A.A., Madrid. (Folios 36 a 41). QUINTO. XFERA ha aportado copias de dos contratos de alta particulares: el primero, de fecha 06/05/2010, relativo a la línea de telefonía asociada al número I.I.I., modalidad la del seis con bono 8 internet y, el segundo, relativo a la línea de telefonía asociada al número G.G.G., modalidad la del cero con bono 8 internet. En ambos contratos figuran los datos de carácter personal y bancarios del denunciante, si bien el domicilio que figura es A.A.A.. En los contratos no figura la firma del denunciante. Tampoco se aporta copia del contrato relativo a la línea asociada al número J.J.J. que según XFERA se realizó a través del distribuidor The Phone House (folios 48,49 y 32). SEXTO. XFERA ha aportado copias de las facturas emitidas con relación a las líneas de telefonía asociadas a los números G.G.G. y J.J.J.: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 - F.F.F., de fecha 01/09/2010 por importe de 151,84 euros - F.F.F. L.L.L., de fecha 01/08/2010 por importe de 97,58 euros (coincidente con el extracto bancario de fecha 16/08/2010). - F.F.F. E.E.E., de fecha 01/01/2011 por importe de 482,58 euros (coincidente con el extracto bancario de fecha 14/01/2011). (Folios 42 a 44). SEPTIMO. XFERA ha aportado copia del albarán del pedido correspondiente a la línea I.I.I., de fecha 23/07/2010, por el que se entregó a domicilio (C/ A.A.A.) un terminal móvil Nokia 5230 touch screen White. El albarán se encuentra firmado por alguien que se identificó como el denunciante, pero la firma no coincide con la del denunciante (folio 53). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora, en su artículo 6, Prescripción y archivo de las actuaciones, en su punto 1, señala que: “1. Cuando de las actuaciones previas se concluya que ha prescrito la infracción, el órgano competente acordará la no procedencia de iniciar el procedimiento sancionador. Igualmente, si iniciado el procedimiento se concluyera, en cualquier momento, que hubiera prescrito la infracción, el órgano competente resolverá la conclusión del procedimiento, con archivo de las actuaciones. En ambos casos, se notificará a los interesados el acuerdo o la resolución adoptados. Asimismo, cuando haya transcurrido el plazo para la prescripción de la sanción, el órgano competente lo notificará a los interesados”. III El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala en su Disposición Transitoria Quinta “El presente real decreto se aplicará a las actuaciones previas que se inicien después de su entrada en vigor.” La Disposición Final Segunda determina:”El presente real decreto entrará en vigor a los tres meses de su íntegra publicación en el “Boletín Oficial del Estado”. Habiéndose publicado el mismo el 19/01/2008, el citado R. D. por el que se aprueba el Reglamento de desarrollo de la LOPD, entró en vigor el 19/04/2008. En su artículo 126, se señala: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 “1. Finalizadas las actuaciones previas, éstas se someterán a la decisión del Director de la Agencia Española de Protección de Datos. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. 2. En caso de apreciarse la existencia de indicios susceptibles de motivar la imputación de una infracción, el Director de la Agencia Española de Protección de Datos dictará acuerdo de inicio de procedimiento sancionador o de infracción de las Administraciones públicas, que se tramitarán conforme a lo dispuesto, respectivamente, en las secciones tercera y cuarta del presente capítulo”. El artículo 122, señala que: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas. (El subrayado es de la Agencia Española de Protección de Datos). Es necesario señalar que en este caso resulta de aplicación el plazo máximo de doce meses de duración establecido en el artículo 122 del RD 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, que establece para la realización de dichas actuaciones previas, tomando en consideración que tal norma reglamentaria es de aplicación a actuaciones iniciadas con posterioridad a su entrada en vigor (es decir, a partir del 19 de abril de 2008). Con fecha 06/07/2011 tuvo entrada en esta Agencia Española de Protección de Datos la denuncia del afectado, trasladada a este organismo por la Dirección General de Consumo, Consejería de Economía y Hacienda de la CCAA de Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 En fecha 28/11/2011 se requirió al denunciante que, en el plazo de diez días hábiles, remitiese documentación complementaria de subsanación y mejora. No obstante habiendo transcurrido dicho plazo y no dar respuesta al requerimiento, de conformidad con lo establecido en el artículo 42 de la Ley 30/1992, se entendía que desistía de su solicitud, dándole traslado el 15/03/2012. Con fecha 10/04/2012 el denunciante interpuesto recurso potestativo de reposición aportando nuevos elementos de prueba; el Director de la AEPD resolvía con fecha 29/06/2012, estimar el mismo y ordenaba realizar las correspondientes investigación en el marco del expediente de actuaciones previas E/03855/2012 con el objeto de determinar las presunta vulneración de la LOPD por parte de la entidad XFERA. Realizadas las actuaciones previas de investigación, mediante resolución del Director de AEPD de 13/05/2013, se acordó iniciar procedimiento sancionador a XFERA, siendo notificado tal acuerdo el 16/05/2013. El articulo 122.4 anteriormente citado establece como plazo de duración máxima de las actuaciones previas el de doce meses a contar desde la fecha en que la denuncia o petición razonada hubieran tendido entrada en al AEPD o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones, y hasta la fecha en que haya sido dictado y notificado el acuerdo de inicio de procedimiento sancionador, produciéndose la caducidad de las actuaciones previas si su duración excediera de aquel plazo. En el presente caso, el termino inicial (dies a quo) para el computo del plazo de caducidad de las actuaciones previas de investigación viene determinado por la fecha de presentación de la denuncia en la AEPD, el 06/07/2011, con independencia de que no fuera atendida inicialmente; siendo el término final (dies ad quem), la fecha en que se notificó a XFERA el acuerdo de inicio del procedimiento sancionador PS/00249/2013, siendo evidente que las actuaciones habían caducado ya en esa fecha, el 16/05/2013, al haber transcurrido el plazo de un año desde la entrada de la denuncia, por lo que debieron ser archivadas, sin que proceda entrar en el resto de cuestiones que versan sobre el fondo del asunto. IV La Ley 30/1992, de 26 de noviembre del Régimen Jurídico y del Procedimiento Administrativo Común, que regula con carácter general el instituto de la prescripción, hace una remisión normativa a las leyes especiales por razón de la materia objeto de regulación. En este sentido, el artículo 132.1 dispone que “Las infracciones y sanciones prescribirán según lo dispuesto en las leyes que las establezcan.” La LOPD, establece en el artículo 47, lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor. 4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. 5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquél en que adquiera firmeza la resolución por la que se impone la sanción. 6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor”. En el presente caso, se deduce que la supuesta infracción que se podría alegar sería la contemplada en el artículo 44.3 de la LOPD, relativo a las infracciones graves y en concreto el apartado
- b)es decir “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Así, considerando que el plazo de prescripción comienza a contarse el día en que se cometió la presunta infracción, en el presente caso el “dies a quo” del cómputo prescriptivo debe fijarse en enero de 2011, que fue cuando se emitió la factura Nº F.F.F.E.E.E., por importe de 482,58 euros, no existiendo constancia de tratamientos posteriores, según consta en las actuaciones de investigación previa. Además, de conformidad con lo dispuesto en el apartado 3 del precepto antes citado, así como en el artículo 132.2 de la LRJPAC, el único modo de interrumpir el cómputo del plazo de prescripción es la iniciación, con conocimiento del interesado, del oportuno procedimiento sancionador. En este mismo sentido se pronuncia la A.N. en sentencia de 07/06/2005, que dice “sólo podrá operar con efecto interruptor del plazo de prescripción la fecha de comunicación al interesado del acuerdo de iniciación del expediente sancionador…” Por tanto, el “dies ad quem” viene determinado por el acuerdo de inicio del procedimiento sancionador con conocimiento del interesado, es decir, el 21/05/2013, resultando que la posible vulneración del principio de consentimiento está considerado como una infracción grave, que, por tanto, prescribe a los dos años, habiendo quedado acreditado que la misma había prescrito cuando se acordó la apertura del presente procedimiento sancionador, con conocimiento del interesado. La prescripción, responde al principio de seguridad jurídica, que garantiza que los administrados no queden, indefinidamente, sometidos al ejercicio por la administración de su poder sancionador, y puedan conocer con certeza, el momento en que no serán sancionados por el ilícito cometido. Así lo ha entendido la jurisprudencia al considerar que la prescripción opera con el fin de que sea pronta la reacción social al incumplimiento de la normativa protegida por la amenaza de la sanción prevista en la ley administrativa (STS de 13 de febrero de 1991). En cuanto a los efectos de la prescripción, y ante el silencio tanto de la LOPD como de la Ley 30/1992, hay que aplicar lo previsto en el artículo 6 del RD 1398/1993 que recoge el procedimiento para el ejercicio de la potestad sancionadora y del que resulta que cuando de las actuaciones previas se concluya que ha prescrito la infracción, el órgano competente acordará la no procedencia de iniciar el procedimiento sancionador; en caso de que ya se hubiera iniciado el procedimiento, debería acordarse su archivo o si se hubiera interpuesto recurso contencioso debería estimarse la impugnación por entender que la resolución administrativa impugnada se había dictado fuera de plazo. En el presente caso, dado que la vulneración del principio de consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 está considerado como una infracción grave, que, por tanto, prescribe a los dos años, ha quedado acreditado que la misma había prescrito cuando se acordó la apertura del presente procedimiento sancionador, con conocimiento del interesado. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a la entidad XFERA MOVILES S.A.., por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a XFERA MOVILES S.A.. y a B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es